PS-00046-2021

(3)contratos de postpago, que poseo con dicha compañía, pasando los números ***TELEFONO.1, ***TELEFONO.2 y ***TELEFONO.3 a la situación de DESACTIVADOS, no pudiendo realizar ni recibir llamadas telefónicas. Esta parte quiere hacer constar que no ha solicitado a la compañía SIMYO ningún duplicado de la tarjeta SIM, por lo que queda demostrado de que mi teléfono particular ***TELEFONO.1 ha sido secuestrado y los delincuentes han accedido a la aplicación del banco ING DIRECT de forma fraudulenta a través del control del número de teléfono móvil. Puesto en contacto con la operadora SIMYO informan que dicha solicitud de DUPLICADO de tarjeta SIM se ha realizado en una tienda de física, y se ha adquirido un duplicado de la SIM. Preguntado en qué tienda se ha producido dicha compra de duplicado manifiesta que esa información, sería puesta a disposición de las Autoridades policiales/judiciales cuando a ellos les conste que se ha denunciado el hecho legalmente. Esta parte ha denunciado todo lo ocurrido ante la Policía Judicial de la Guardia Civil de Huelva, denuncia nº XXX/XX. La Guardia Civil ha informado que el duplicado fraudulento de la tarjeta SIM se ha producido en una tienda de Barcelona y que el empleado que lo hizo está identificado según ha informado ORANGE. Esta parte puede aportar la denuncia ante la Policía Judicial si lo requieren oportuno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/88 SIMYO ha vulnerado mis datos personales y con ello se ha procedido a la creación de una tarjeta SIM duplicada fraudulenta la cual ha servido para hacer en nombre del que suscribe dos transferencias de diez euros (sic) una cuenta nómina y la creación de un préstamo persona fraudulento de 43.000 euros. Todo porque SIMYO no conservó ni tuvo el deber de cuidar mis datos personales. Solicito que la AEPD sancione a SIMYO de manera ejemplar. Me he dirigido a SIMYO por los cauces que tienen establecidos y no contestan. Llama GRATIS al 121 desde tu móvil SIMYO. (Horario: lunes a domingo, de 8:00 a 23:00 hrs.) Si no puedes llamar desde tu móvil SIMYO, llama gratis al teléfono 1644 desde cualquier fijo o móvil. en el mail soporte@SIMYO.es me he dirigido a ellos y me dan silencio.” Junto a la reclamación aporta la denuncia presentada ante la Unidad Orgánica de la Policía Judicial de la Guardia Civil, Comandancia de Huelva, en fecha 15 de agosto de 2019, con número de diligencias XXX/XX, en la que manifiesta: “ (…) expone unos hechos acaecidos el día 14 de agosto de 2019, consistente en haber sufrido una suplantación de identidad, que como consecuencia, le han reemplazado tanto en la línea de telefonía móvil, sacando un duplicado de la tarjeta SIM del número ***TELEFONO.1, línea ésta dada de alta en ING para las operativas online, como en el acceso a su cuenta bancaria de la entidad ING, por lo que al modificar sus claves, ya no puede tener acceso a la misma, con el consiguiente perjuicio económico que se deriva (…) Se intenta por esta parte con gran nerviosismo y ya entrada la noche, entrar en la aplicación de ING DIRECT para comprobar el saldo de las cuentas y no puedo acceder, quedando bloqueada a la introducción de tres veces, ya que las claves no funcionaban, quedando demostrado que me han cambiado las claves de acceso. A continuación intenta acceder mi esposa B.B.B., ya que ella es cotitular de las cuentas bancarias y ella si puede acceder, observando que existe en las posiciones un préstamo personal fraudulento por importe de 43.000 euros, cuyo montante económico fue ingresado en la cuenta naranja de la que soy titular. Igualmente se observa una transferencia bancaria realizada de mi cuenta ***CUENTA.1 (ING) por importe de 10.000 euros a la cuenta ***CUENTA.2 (BBVA). A las 21.35 horas del día 14 de agosto de 2019, el que suscribe recibe en su correo electrónico particular de Gmail, del banco ING DIRECT, donde se lee, “DOCUMENTACIÓN PRÉSTAMO NARANJA”, “Estimado A.A.A., gracias por elegirnos para la contratación de tu préstamo (…) A las 21.43 horas del día 14 de agosto de 2019 (…) recibe en su correo electrónico (…) un email del banco ING DIRECT, donde se lee, “Estimado Señor A.A.A., (…) adjuntamos una copia de la documentación relativa a su contratación (…) producto contratado cuenta nómina número ***CUENTA.3, donde igualmente se consignan todos los datos personales de esta parte (…) Hacer constar, que con mi teléfono número ***TELEFONO.1, después de revisar las llamadas salientes y entrantes desde la aplicación de la operadora SIMYO, se realiza llamada telefónica al número ***TELEFONO.11 a las 22:36:22 del día 14-82019, si bien el que suscribe, no realiza la llamada y se hacen pasar por mí. Dicho número (…) corresponde al Servicio de Atención al cliente del BBVA, por lo que los delincuentes, realizan esa llamada para cambiar las claves de la entidad bancaria C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/88 (…) Se solicita que a la mayor brevedad sea este caso auditado por los servicios de calidad y seguridad de la entidad bancaria ING DIRECT, para que se anule y se deje sin efecto tanto el préstamo naranja número ***PRÉSTAMO.1 por importe de 43.000 euros aperturado de forma fraudulenta y la cuenta número ***CUENTA.3, ya que ambos productos no han sido contratados por esta parte y tienen evidentes muestras de fraude bancario a través de internet. “ Dicha denuncia fue objeto de ampliación, en fecha 21 de agosto de 2019, en la que se hace constar: “ (…) Que se advierte la creación en las posiciones del que suscribe de la entidad bancaria ING, de tres tarjetas financieras las cuales son de creación fraudulenta y están canceladas, pero se denuncian para constancia y efectos pudiera tener: Tarjeta de Débito a nombre de A.A.A. ***TARJETA.1 Tarjeta de Débito a nombre de A.A.A. ***TARJETA.2 Tarjeta de Crédito a nombre de A.A.A. ***TARJETA.3” De acuerdo con lo previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, en fecha 11 de noviembre de 2019, se dio traslado de la reclamación a SIMYO, para que procediera a su análisis y diera respuesta en el plazo de un mes. En respuesta a dicho requerimiento, SIMYO, manifestó -entre otros argumentos- lo siguiente: “ (…) El día 14 de agosto de 2019 se verificó que, (…) “cambio/duplicado de SIM” a las 21:15:40. (…) al nuevo valor ***EMAIL.1 mediante (…) a las 18:55:30, (…) “cambio/duplicado de SIM”. Al día siguiente, 15 de agosto de 2019, el Sr. A.A.A. se pone en contacto con SIMYO, mediante el Servicio de Atención al Cliente (Call Center) indicando que no reconoce ni el duplicado de la tarjeta SIM efectuado, ni tampoco la modificación de datos de contacto (correo electrónico) realizada. Ante dicho relato, se da traslado de lo sucedido al Departamento de fraude, para que analice en profundidad lo sucedido, mientras que, paralelamente, se comprueba que tanto el cambio de tarjeta SIM como el resto de líneas cuya titularidad correspondía a D. A.A.A., habían sido suspendidas de forma voluntaria por el cliente, operación que había tramitado a través de su Área personal. El día 16 de agosto, tras el correspondiente análisis de los hechos, se vuelve a contactar con el cliente y tras ofrecerle un duplicado SIM antes de cursar la orden de baja definitiva, lo cual es rechazado, se realiza, a petición del Sr. A.A.A., la desactivación de todas sus líneas contratadas con SIMYO. (...) (…) Tal y como hemos tenido oportunidad de poner de relieve en el escrito de contestación al requerimiento de información E-08994-2019, notificado el pasado mes de noviembre, (…), el Grupo Orange en España, del cual también forma parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/88 SIMYO, ha reforzado y robustecido los Protocolos implantados para la tramitación de determinados actos (entre los que se encuentran los de duplicado de tarjetas SIM). En efecto, se viene a manifestar que, habiendo detectado que la operativa empleada por los presuntos suplantadores de identidad en la marca SIMYO consistía en (…), se han implementado nuevas modificaciones en el procedimiento instaurado, a fin de dotarlo de medidas adicionales para una mayor robustez. En primer lugar, SIMYO ha eliminado la posibilidad de (…), con fecha 23 de agosto de 2019, de tal manera que (…). Esta medida ha sido adoptada teniendo presente la naturaleza de los Puntos de Venta SIMYO, puesto que no se tratan de tiendas propias. En segundo lugar, y en relación con lo anterior, también se ha adoptado la medida de (…), pues si bien hasta la fecha 26 de agosto de 2019 era posible (…)”. En tercer lugar, y teniendo presente que actualmente tanto el envío de la tarjeta SIM como la posterior activación solo es posible realizarla mediante (…), SIMYO ha implementado, con fecha 26 de agosto de 2019, diversas medidas adicionales en la realización de determinados actos, con el objetivo de garantizar la identidad del cliente con la finalidad de evitar que se repitan situaciones similares a la que nos ocupa.(…)” Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 18 de diciembre de 2019, en el expediente con núm. de referencia E/10534/2019. SEGUNDO: C.C.C., (en adelante, la parte reclamante dos), en fecha 6 de noviembre de 2019, presenta una reclamación ante la Oficina de Correos de Granja de Torrehermosa, que es registrada en la AEPD en fecha 13 de noviembre de 2019, dirigida contra SIMYO, por los siguientes motivos: “ (…) a día de 23 de agosto de 2019, siendo SIMYO mi compañía de teléfono, se comunica de manera urgente a la misma (vía telefónica y telemáticamente) que alguien ha querido obtener datos personales en nombre de SIMYO. Me expone una superior de SIMYO (D.D.D.) que se ha puesto en conocimiento a todo el equipo lo sucedido para que no se realice ninguna modificación o cambio en la línea del afectado (***TELEFONO.4). Una hora más tarde, el afectado se queda sin cobertura en el teléfono a consecuencia de que alguien de la compañía SIMYO ha realizado un duplicado de tarjeta SIM sin el consentimiento del titular de la línea. El afectado llama a la compañía desde otro terminal, informando de que no dispone de cobertura en su teléfono. En este momento, la misma persona que le atendió anteriormente, le indica que no se preocupe, que todo está en manos de ellos, que en 3 días lo solucionarán y que le compensarán por lo sucedido; no comentando en ningún momento que se había realizado un duplicado de la tarjeta SIM. Este hecho conlleva una serie de daños y perjuicios al afectado y su familia, ya que al duplicar su SIM, personas ajenas obtuvieron todo tipo de datos, entre ellos bancarios, utilizando los mismos para realizar una sustracción de (30.000 Euros) de la cuenta bancaria que comparte el afectado con su familia, los cuales tuvieron que bloquear todas las cuentas bancarias y tarjetas de crédito, además de sufrir psicológicamente por este hecho, afectando a su salud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/88 Por otra parte, el afectado tuvo que pedir días de vacaciones en su trabajo para realizar los trámites bancarios pertinentes. De manera secundaria, pero no menos importante, el afectado ha estado incomunicado de manera indeterminada y sin poder dar de baja dicha línea, al modificar los autores de tal acto datos de su cuenta. (…)” Junto a la reclamación aporta la denuncia presentada ante el Puesto P. de Rincón de la Victoria, de la Comandancia de la Guardia Civil de Málaga, en fecha 24 de agosto de 2019, con número de atestado ***DENUNCIA.1, en la que manifiesta “ (…) MANIFIESTA que es titular, de una cuenta bancaria en la entidad Banco Santander con número de cuenta ***CUENTA.4, en la cual consta como personas autorizadas el padre del denunciante D. E.E.E., su madre Dª F.F.F. y el hermano del denunciante D. G.G.G.. Que el día 23 de agosto de 2019, sobre las 22:45 aproximadamente el denunciante accede a la aplicación de consulta de cuenta de la entidad Banco Santander, y puede comprobar cómo se ha retirado de la cuenta la cantidad de 30.000-- euros, que inmediatamente efectúa llamada telefónica a sus padres para saber el motivo de dicha retirada, y que sus padres le informan de que no han hecho ningún movimiento de esa cantidad. Que acto seguido efectúa llamada a la entidad bancaria, al número de teléfono 900.811.381, en la cual la operadora, le informan de que si había aceptado algún correo electrónico de la entidad banco Santander, siendo informada la operadora por el denunciante, de que no ha aceptado ningún correo electrónico y que no ha facilitado ningún dato a ninguna persona, ni ha extraviado ningún tipo de documentación. Que en esta llamada quedó bloqueado el acceso a multicanal, y por aplicación a la cuenta bancaria, así como firmas digitales. Que el denunciante es informado por la operadora de la entidad de que sus padres deberían de cancelar, la cuenta bancaria, así como tarjetas de dicha entidad, tramites que realizó su padre el día 24 de agosto de 2019 sobre las 00:30 horas, ya que aunque el titular es el denunciante, este se encontraba muy nervioso para realizar este tipo de trámites, por tener dudas de que ha podido ser víctima de un delito de estafa. Que el denunciante recibe una llamada en su terminal móvil con número ***TELEFONO.4, el cual opera con la compañía SYMIO, con número oculto y privado, sobre las 13:35 horas aproximadamente, en el cual le pregunta un interlocutor hombre, varias preguntas sin que estuvieran relacionadas con el denunciante, como que facilite su DNI, fecha de nacimiento, etc, que el interlocutor tenía acento español, al parecer del norte de España. Que el denunciante recibe una segunda llamada con número oculto y privado en el terminal antes reseñado, a las 16:12 horas, día 23 de agosto de 2019, en el cual el interlocutor hombre, le dice: Buenas, le llamo de SIMYO, (ofertándole una oferta de datos y llamadas), solicitándole al denunciante su fecha de nacimiento, facilitándole al interlocutor su fecha, informándole el interlocutor al denunciante que si quería verificar la oferta que llamase al número 1644, número de atención al cliente de la compañía SIMYO. Que el denunciante efectúa llamada a 1644 para comprobar la veracidad de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/88 oferta y es informado de que desde la compañía no se le ha ofertado nada. Que el denunciante le envía un correo electrónico a la citada compañía para avisar de lo sucedido. Que el denunciante comprueba como su terminal móvil se queda sin cobertura, volviendo a contactar con la compañía SIMYO para saber el motivo de esta incidencia, siendo informado por la compañía, que no tenía cobertura por temas de seguridad, y que el lunes se resolvería el problema. Que a través del área personal (…), puede observar un mensaje, a las 04:57 horas día 24-08-2019, en el que consta que se ha producido un duplicado de la tarjeta SIM, el cual se ha producido a las 17:48 horas día 23-08-2019, siendo de especial interés ya que este duplicado se efectúa una hora aproximadamente, de que el denunciante informase a la compañía de las llamadas recibidas con número oculto y privado. PREGUNTADO para que diga o aporte los datos de que disponga de la extracción de la cantidad de 30.000 euros. MANIFIESTA que se ha producido a través de transferencia bancaria, la cual no ha sido autorizada por el denunciante, ni ha procedido a ingresar códigos de confirmación, ni realizar la firma electrónica, desconociendo como se ha podido producir dicha transferencia, que la cuenta donde se ha transferido el dinero es la siguiente ***CUENTA.5 donde consta como beneficiario Hhh (sic), no puede aportar extracto del movimiento, por estar la entidad cerrada por ser fin de semana, y no pudiendo acceder a su cuenta corriente a través de aplicación de la entidad por tener el teléfono móvil bloqueado. Que la cantidad transferida es de 30.000 euros. (…)” Asimismo, aporta el mensaje de fecha 23 de agosto de 2019, en el que SIMYO informa que ya ha entregado el duplicado de SIM, así como el email que la parte reclamante dos dirige a soporte@simyo.es, en esa misma fecha, informando sobre la recepción de una llamada con número oculto haciéndose pasar por SIMYO. En fecha 9 de enero de 2020, se dio traslado de la reclamación a SIMYO, para que procediera a su análisis y diera respuesta en el plazo de un mes. En respuesta a dicho requerimiento, SIMYO manifestó -entre otros argumentos- lo siguiente: “(…) En fecha 23 de agosto de 2019, se identifica (…), correspondiente a la solicitud de un duplicado de tarjeta SIM correspondiente a la numeración ***TELEFONO.4 desde (…). (…)”. Habida cuenta de lo anterior, ha podido confirmarse que (…). Tal y como se ha podido comprobar, tras identificar repetidos intentos para obtener el acceso al área personal del reclamante, esta mercantil procedió a (…) del Sr. C.C.C.. Cumple destacar que, tal y como se ha puesto de manifiesto a lo largo del presente, tan pronto como esta mercantil tuvo conocimiento de los indicios que hacían advertir un tratamiento irregular de los datos del Sr. C.C.C. con motivo del duplicado de la tarjeta SIM de la numeración ***TELEFONO.4, procedió (…). Tras lo expuesto, en el mes de octubre de 2019 se recibió en los sistemas de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/88 mercantil reclamación oficial en relación a los hechos advertidos y que traen causa del presente requerimiento. Tras un estudio del caso, y por deferencia comercial, esta mercantil (…). Habida cuenta de lo anterior, siendo SIMYO (…), esta mercantil focaliza todos sus esfuerzos en la implementación constante de medidas de seguridad y autenticación, que permitan garantizar la identificación veraz y segura del titular en aras de combatir este tipo de procesos fraudulentos, tal y como expondremos más adelante. Por lo expuesto, Orange ha procedido al envío a través de una comunicación remitida mediante burofax, cuya copia adjuntamos al presente escrito como documento anexo nº 1, a través de la cual se ha procedido a informar a la reclamante de las medidas llevadas a cabo por esta mercantil con motivo del presente requerimiento, así como de las actuaciones relatadas en este informe. (…) Cumple destacar que existe un (…) en relación a un presunto duplicado de SIM no consentido en cualquiera de sus marcas. Pues bien, en dicho (…). Aportamos el procedimiento como documento anexo nº 2. Por su parte, SIMYO ha eliminado la posibilidad de (…), de tal manera que, desde esa fecha, ya no es posible adquirir la tarjeta SIM en un (…). De igual forma, también se ha adoptado la medida de (…). Por otro lado, y teniendo presente que actualmente tanto (…), SIMYO ha implementado, con fecha 26 de agosto de 2019, diversas medidas adicionales en la realización de determinados actos, con el objetivo de garantizar la identidad del cliente con la finalidad de evitar que se repitan situaciones similares a la que nos ocupa. Así mismo, interesa poner de manifiesto a la Agencia a la que tenemos el honor de dirigimos, existe un (…) para lograr los desarrollos y mejoras tecnológicas necesarias para que las solicitudes de (…). Esta nueva tecnología permitiría que, (…)”. Sobre dicha reclamación recayó resolución de ADMISIÓN A TRÁMITE de fecha 13 de noviembre de 2020, en el expediente con núm. de referencia E/00220/2020. TERCERO: Con fecha 27 de noviembre de 2019, la directora de la AEPD, ante las noticias aparecidas en medios de comunicación relativas a la utilización de prácticas fraudulentas basadas en la generación de duplicados de tarjetas SIM sin el consentimiento de sus legítimos titulares con objeto de acceder a información confidencial con fines delictivos (conocidas como “SIM Swapping”), insta a la Subdirección General de Inspección de Datos (en lo sucesivo, SGID) a iniciar de oficio las Actuaciones Previas de Investigación tendentes a analizar estas prácticas y las medidas de seguridad existentes para su prevención. A saber: El timo de la SIM duplicada: si su teléfono hace cosas raras, revise la cuenta bancaria | Economía | EL PAÍS (elpais.com) https://elpais.com/economia/2019/05/21/actualidad/1558455806_935422.html La peligrosa estafa de moda: Duplicar tu número de móvil para vaciarte la cuenta del banco | Tecnología (elmundo.

1. es)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/88 https://www.elmundo.es/tecnologia/2020/10/15/5f8700b321efa0c9118b462c.html CUARTO: A la vista de los hechos denunciados por las partes reclamantes una y dos, de los documentos aportados y de la Nota Interior acordada por la directora de la Agencia, la SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las actuaciones previas de investigación se practicaron tres requerimientos de información dirigidos a SIMYO, en distintas fechas: Requerimiento Código Seguro de Verificación Fecha requerimiento Fecha notificación requerimiento Primero ***CSV.1 13/01/2020 13/01/2020 Segundo ***CSV.2 24/06/2020 25/06/2020 Tercero ***CSV.3 16/09/2020 17/09/2020 En el primero de los requerimientos, de fecha 13 de enero de 2020, se solicitaba la siguiente información: 1. Información sobre las vías de que disponen los clientes para solicitar un duplicado de tarjeta SIM. (Teléfono, Internet, tiendas, etc.). 2. Para cada una de las vías de que se disponga, se pide información detallada del procedimiento establecido para la atención de las solicitudes, incluyendo los controles para la verificación de la identidad del solicitante incluyendo los datos y documentos que se requieren al solicitante, así como el detalle de las verificaciones que se realizan sobre los mismos. En caso de envío de tarjeta SIM por correo, detalle de los controles y exigencias establecidas sobre la dirección de envío. 3. Instrucciones giradas al respecto al personal que atiende las solicitudes para la atención de las mismas. Documentación que acredite su difusión entre los empleados dedicados a dichas tareas, internos o externos a la entidad. 4. Información sobre si la realización de los controles para la verificación de la identidad queda reflejada, para cada solicitud atendida, en el Sistema de Información de la entidad. Documentación que lo acredite en su caso, tal como impresión de pantalla de los botones (check-box) u otra documentación según el método utilizado. 5. Motivos por los cuales ha sido posible en algunos casos la suplantación de la identidad de clientes para la emisión de duplicados de SIM. Razones por las cuales las medidas y controles de seguridad implementados no han surgido efecto. 6. Acciones emprendidas por la entidad cuando se detecta uno de estos casos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/88 Información sobre la existencia de un procedimiento escrito y copia del mismo en caso afirmativo. Acciones emprendidas para evitar que casos de este tipo se vuelvan a producir, en concreto, cambios que se hayan podido realizar sobre el procedimiento para mejorar la seguridad. 7. Número de casos de solicitudes fraudulentas de duplicados de SIM detectados durante todo el año 2019. Número de clientes de telefonía móvil total de la entidad. En el segundo de los requerimientos, de fecha 24 de junio de 2020, se solicitaba la siguiente información: PUNTO 1 Se solicita aclaración sobre los siguientes aspectos con relación a la contestación de nuestro requerimiento de fecha 16 de enero de 2020, en el marco de este mismo expediente: A). Se pide copia de las políticas de seguridad (Solicitud de SIM y activación de SIM), donde consten claramente los datos que se solicitan según los diferentes casos, incluyendo todos los supuestos. Se pide copia de las instrucciones concretas dadas a los operadores para ello con información detallada de los datos que deben pedir en cada caso. B). Información sobre los controles establecidos para tramitar el cambio de dirección de correo electrónico de un usuario. Implicaciones de un cambio de dirección de correo electrónico en la activación de un nuevo duplicado de SIM. Forma en la que los supuestos suplantadores han podido activar una nueva SIM cambiando previamente este dato del usuario. C) En las entregas a domicilio, se pide información sobre si es posible cambiar la dirección de entrega de la SIM y bajo qué circunstancias y controles. D). En la tabla de controles aportada se menciona, en los casos de empresas de mensajería: “Entrega sin validación de Documento de Identidad”. Se pide las comprobaciones que se realizan en la entrega a domicilio de la tarjeta SIM para la identificación del destinatario. Copia de la documentación contractual con las empresas de mensajería que realizan el reparto, donde consten las comprobaciones de identidad que debe realizar el repartidor. PUNTO 2 Listado de 20 casos de duplicados de SIM reclamados como suplantación de identidad o fraudulentos por los clientes. El listado incluirá los duplicados de SIM solicitados desde el 1 de enero de 2020, es decir, todos los reclamados que sucedieron a partir del 1 de enero, desde el primero, consecutivos hasta llegar a 20. Se pide indicar en el listado únicamente: - la fecha del cambio de SIM, - el número de línea, - canal de la solicitud, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/88 - canal de entrega. PUNTO 3 Sobre casos presentados ante esta Agencia que se resumen en la tabla: (que se da por íntegramente reproducida en este acto de trámite): Se pide: A) En ambos casos figura que la solicitud se realizó en un punto de venta (se realizaron antes del 26/08/2019). Se pide el motivo por el cual fue posible el duplicado de SIM en estos casos presenciales. Acreditación documental de los controles que se pasaron sobre la identidad del solicitante en las tiendas. B) En ambos casos se cambió la dirección de correo electrónico de forma previa a la solicitud. Se pide información de cómo cambiaron las direcciones de correo de los clientes y acreditación documental de los controles que se pasaron para la identificación del cliente en cada caso. C) Canales por los que se produjo la activación. Acreditación documental de los controles que se pasaron sobre la identidad en la activación, en cada caso. D) En el caso E/00220/2020 el cliente menciona que alertó a la entidad de forma previa a la supuesta suplantación de identidad de un posible intento de uso fraudulento de sus datos. Se pide información sobre el motivo por el cual no se marcó o se tuvo en cuenta dicha información para evitar la suplantación de identidad para emitir duplicados de SIM. E) Acciones emprendidas por la entidad en cada caso, incluyendo acreditación documental de los siguientes aspectos: - Si se ha marcado como víctima de fraude al cliente para evitar posibles intentos de suplantación de identidad futuros. - Si se han realizado investigaciones internas para esclarecer los hechos con el punto de venta. -Si se han realizado cambios en el procedimiento para evitar casos futuros similares. - Si se ha contactado con el cliente para alertarle de lo sucedido y sobre la resolución de su caso. En el tercero y último de los requerimientos, de fecha 16 de septiembre de 2020, se solicitaba la siguiente información: PUNTO 1 Sobre el listado de 2 casos de duplicados de SIM denunciados/reclamados facilitados en la contestación anterior: Se pide, en para el primer caso, con relación al duplicado de SIM que se llegó a cambiar: A. Copia del DNI o documentos identificativos aportados por el solicitante en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/88 punto de venta. B. Sobre la activación por el Call Center: - copia de la grabación de la conversación donde el solicitante supera la política de seguridad. Se pide, para los intentos de cambio solicitados en ambos casos: C. Información detallada sobre cómo se detectaron los intentos cancelados y circunstancias por las cuales se clasificaron de fraude o no realizables. Políticas o controles que no pasaron dichas solicitudes. D. Información sobre los motivos por los que se produjo finalmente un cambio de SIM en el primer caso, habiendo existido 2 intentos previos. Información sobre si se clasificaron los primeros intentos de fraude y controles implementados para asegurar los posibles intentos sucesivos. QUINTO: Con fecha 28 de enero y 1 de julio de 2020, SIMYO solicita la ampliación del plazo legal conferido para contestar dichos requerimientos. Con fecha 31 de enero y 15 de julio de 2020, la Subdirectora General de Inspección de Datos acuerda la ampliación del plazo por un periodo de cinco días. SEXTO: En respuesta a los tres requerimientos formulados, SIMYO aportó la siguiente información que fue objeto de análisis por esta Agencia: 1.- Información sobre las vías de que disponen los clientes: (…) 2.- Información detallada del procedimiento: (…) Los representantes de SIMYO han manifestado que: (…) La política de seguridad explícitamente consiste en: (…) C) Se ha solicitado información sobre si es posible cambiar la dirección de entrega de la SIM y bajo qué circunstancias y controles. En el documento ya mencionado “(…)” se establece que: (…) Sobre el cambio de la dirección del cliente en los sistemas de la entidad, los representantes de SIMYO han manifestado que actualmente solo existen dos posibilidades: (…) Consta en el documento que: (…) D) Sobre las comprobaciones que se realizan en la entrega a domicilio de la tarjeta SIM para la identificación del destinatario. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/88 Sobre el número de casos de solicitudes fraudulentas de duplicados de SIM detectados durante todo el año 2019, la entidad ha manifestado: Con relación al grupo ORANGE, que: “El número de casos detectados durante el 2019 ascendió a ***NÚMERO.1 supuestos. Dicha cifra, respecto al número total de clientes en 2019 (16.312.653), representa un ***NÚMERO.2%. Anualmente se realizan aproximadamente ***NÚMERO.3 cambios de SIM. Los casos de fraude detectados, actualmente y pese a los esfuerzos realizados, suponen un ***NÚMERO.4% del total de cambios de tarjetas SIM realizados.” Respecto a los casos presentados ante la agencia: Parte RECLAMANTE UNO: - Solicitud de cambio de SIM: (…) Se ha requerido copia del DNI o documentación identificativa, así como resto de documentación asociada, aportada por el solicitante en (…). No se aporta. (Notar que se realiza antes del 26/08/2019 cuando SIMYO cambia su (…)). Los representantes de la entidad indican que los suplantadores adquirieron las tarjetas SIM en (…) que evidencia que dichos (…) las debieron de proveer (…). Indican que (…). Actualmente se encuentra desactivada. Los representantes de SIMYO manifiestan que (…). Destacan que los mismos conocían determinados datos identificativos del cliente. - Perjuicios: Se denuncian operaciones bancarias fraudulentas utilizando la copia del SIM. - Acciones emprendidas. Los representantes de la entidad indican que: o SIMYO ha robustecido su Política de seguridad reforzando los Protocolos existentes (…) como son, por ejemplo, (…), que, como hemos dicho, actualmente está desactivada. o (…) También indican que se han realizado cambios operativos a fin de que estas situaciones no vuelvan a tener lugar en el futuro, entre los que pueden citarse los siguientes: (…) Parte RECLAMANTE DOS: - Solicitud de cambio de SIM: (…). Se ha requerido copia del DNI o documentación identificativa, así como resto de documentación asociada, aportada por el solicitante en el punto de venta. No se aporta. (Notar que se realiza antes del 26/08/2019 cuando SIMYO cambia su (…)). Los representantes de la entidad indican que los suplantadores adquirieron las tarjetas SIM en (…) que evidencia que dichos (…) las debieron de proveer (…). Indican que (…), pues en aquel momento, todavía existía esta funcionalidad en la misma. Actualmente se encuentra desactivada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/88 Los representantes de la entidad han manifestado que: (…) - Perjuicios: Se denuncian operaciones bancarias fraudulentas utilizando la copia del SIM. - Controles: Dado que el cliente menciona que alertó a la entidad, de forma previa a la supuesta suplantación de identidad, de un posible intento de uso fraudulento de sus datos, se ha solicitado a SIMYO información sobre y el motivo por el cual no se marcó o se tuvo en cuenta dicha información para evitar la suplantación de identidad para emitir duplicados de SIM. Los representantes de SIMYO han manifestado al respecto que los hechos se resumen del siguiente modo: (…) - Acciones emprendidas: Aportan las mismas alegaciones que en el caso de la parte reclamante uno. Sobre otros casos no presentados ante la agencia: Los representantes de la entidad han manifestado al respecto que solo se ha tenido conocimiento de ***NÚMERO.5: (…) En concreto, el proceso completo del caso fue el siguiente: El 26/03/2020 se intenta (…) El 27/03/2020 se encuentran (…) El 28/03/2020 se intenta (…) El 28/03/2020 se intenta la activación del SIM del día 26 (…) El 01/04/2020 se compra (…). Se produjo la activación de esta. Aportan copia de la grabación donde se supera la política de seguridad si bien indican que esta política de seguridad se ha robustecido desde entonces. Escuchada la grabación la operadora solicita (…) SIMYO indican que ha modificado el procedimiento establecido, exigiendo que (…) En este caso, por tanto, (…) Los representantes de la entidad manifiestan que se logró evitar el duplicado del SIM (…) SÉPTIMO: Con fecha 3 de febrero de 2021, se obtiene información comercial sobre el volumen de ventas de SIMYO durante el año 2019, siendo los resultados de 123.577.000’00 euros. El capital social asciende a 9.535.587’00 euros. OCTAVO: Con fecha 11 de febrero de 2021, la directora de la AEPD acuerda iniciar un procedimiento sancionador contra SIMYO, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/88 de las Administraciones Públicas (en adelante, LPACAP), por presunta infracción del artículo 5.1.
2. f)y 5.2 del RGPD, tipificada en el artículo 83.5.
3. a)del RGPD y en el artículo 72.1.
4. a)de la LOPDGDD, pudiendo ser sancionada con una multa administrativa de 100.000,00 de euros (cien mil euros), sin perjuicio de lo que resultase de la instrucción. NOVENO: Con fecha 12 de febrero de 2021, la AEPD, en cumplimiento de lo establecido en el artículo 77.2 del RGPD comunica a las partes reclamantes uno y dos, la incoación del expediente sancionador PS/00046/2021. DÉCIMO: El Acuerdo de iniciación se notifica a SIMYO, en fecha 15 de febrero de 2021, a través de Carpeta Ciudadana, según confirmación de la recepción que figura en el expediente. UNDÉCIMO Con fecha 16 de febrero de 2021, SIMYO presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones y aportar documentos u otros elementos de juicio. DUODÉCIMO: Con fecha 18 de febrero de 2021, el órgano instructor acuerda la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El Acuerdo de ampliación se notifica en fecha 22 de febrero de 2021. DÉCIMO TERCERO: Con fecha 8 de marzo de 2021, se recibe en esta Agencia, en tiempo y forma, escrito del representante de SIMYO en el que aduce alegaciones y tras manifestar lo que a su derecho conviene, termina solicitando el archivo del procedimiento y subsidiariamente, que la AEPD considere las circunstancias atenuantes fundamentadas y termine el procedimiento mediante un apercibimiento y con la imposición de las obligaciones de implementar medidas correctivas idóneas. En última instancia, si considera que procede la imposición de una sanción, modere o module la sanción propuesta. En síntesis aduce que: PREVIA.- EXISTENCIA DE UN GRUPO DE TRABAJO SOBRE DUPLICIDAD DE LAS TARJETAS SIM LIDERADO POR LA AEPD. Aduce que el procedimiento sancionador se ha producido en paralelo a la constitución y desarrollo del “Grupo de Trabajo liderado por la AEPD sobre la Duplicidad de las Tarjetas SIM” en el que ha venido participando ORANGE (en representación de todas las entidades del Grupo ORANGE, entre las que se encuentra SIMYO). Este Grupo de Trabajo (GT) mantuvo su primera reunión en enero de 2020 y nace impulsado por la AEPD con el fin de compartir experiencias y analizar las medidas que se están adoptando por ambos sectores (Banca y Telecomunicaciones) con el objetivo de minimizar los riesgos que conlleva esta nueva modalidad de fraude. El hecho de que en el seno del GT se requiera por parte de la AEPD al Grupo ORANGE para compartir toda la información respecto a los procesos y múltiples controles preventivos y reactivos para la prevención y gestión de este tipo de fraudes, así como que se comparta una ingente información relacionada con los problemas y dificultades que se encuentran los operadores de telecomunicaciones para lograr controlar este tipo de fraudes, debería llevarnos a pensar que dicha compartición de información se realiza dentro del más absoluto y esC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/88 tricto marco de confianza y plena confidencialidad. A mayor abundamiento, las colaboraciones público-privadas aportan a la Administración la ventaja esencial que supone que empresas especializadas en determinados servicios, aporten el conocimiento y las mejores soluciones en asuntos que son de interés para los consumidores y para los ciudadanos. El Grupo ORANGE ha participado y participa, hoy en día, en mesas de trabajo con el Ministerio de Asuntos Económicos y Transformación Digital y con el Ministerio del Interior. Durante el año 2020 la colaboración con las Fuerzas y Cuerpos de Seguridad del Estado (FCSE) para la prevención o investigación de ilícitos penales, ha supuesto más de 40.308 solicitudes atendidas y derivadas de los Juzgados; 45.552 de solicitudes atendidas y derivadas de la Policía Judicial y 50.056 intervenciones telefónicas llevadas a cabo (entre altas, bajas y ceses). Además, la actuación destacada de colaboración de la compañía ha supuesto la condecoración del personal destinado a estas actuaciones con la Cruz al mérito Civil con distintivo blanco, de la Policía Nacional y Guardia Civil. Adicionalmente, ha participado activamente en el informe de la ponencia de estudios sobre los riesgos derivados del uso de la red por parte de los menores en el Senado. Así mismo, el Grupo ORANGE ha participado en la firma de un Protocolo de Alto Nivel. Por su parte, la AEPD, ha considerado que es el momento idóneo para proponer sanciones millonarias a las mismas entidades con las que está sentándose para acordar medidas comunes, precedente éste inaudito y sorpresivo. Lo apropiado sería esperar a tener unas conclusiones sobre las medidas a adoptar y, una vez conocidas y puestas en común, y dado un plazo adecuado para lograr su implantación, sea entonces, cuando se pueda requerir a los operadores que acrediten su cumplimiento y en caso de no haberlo hecho sea entonces cuando se propongan sanciones. Las reuniones del GT han sufrido retrasos derivados de la pandemia del COVID 19, lo que ha perjudicado el análisis de la problemática asociada a estos delitos y, consecuentemente, de la propuesta e implantación de las mejoras. A la vista de los hechos, parece que la agencia no tiene ningún tipo de pretensión de dar cumplimiento a los más mínimos principios de lealtad institucional que se presumen en cualquier relación de colaboración público-privada, en tanto, al mismo tiempo que está solicitando colaboración, información y participación activa y efectiva en el GT, inicia un procedimiento sancionador que versa sobre la materia tratada, proponiendo sanciones millonarias a todos los miembros del sector que, de buena fe participan en este. Cruza los límites más elementales de la lealtad institucional que se presume a un organismo público en este marco colaborativo. La apertura de este procedimiento y otros similares dificulta sobremanera la existencia de un marco de confianza entre el Grupo ORANGE y la AEPD, y si nos lo permiten, de todo el sector de las telecomunicaciones a nivel nacional. Por todo ello, SIMYO quiere dejar constancia que esta forma de proceder afecta gravemente al principio de confianza que el Grupo ORANGE presumía poder C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/88 depositar en la AEPD y supone un riesgo a los objetivos del GT, lo que será objeto de análisis interno y probablemente sectorial respecto al marco colaborativo con Autoridades Administrativas que persigan este bien común de los ciudadanos con planes de acción y colaboración conjunta. PRIMERA.- INCORRECCIÓN Y FALTA DE EXACTITUD EN LAS APRECIACIONES SOBRE EL FRAUDE DE DUPLICADO DE TARJETA SIM. La descripción realizada por parte de la AEPD contiene diversas afirmaciones inexactas e incorrecciones técnicas que inducen a una interpretación inadecuada de los hechos y de sus consecuencias jurídicas. Las tarjetas SIM no sirven “para identificar al abonado ante la red de telefonía móvil”, sino que identifican un número de teléfono, sin incluir ninguna información que permita a terceros, distintos del propio operador de telecomunicaciones con la que tiene contratado el servicio, identificar al abonado. El hecho de que el uso posterior de la SIM duplicada tenga como objetivo la comisión de otros delitos -realización de operaciones bancarias fraudulentas-, bajo ningún concepto puede considerarse dentro del ámbito de responsabilidad de SIMYO. Por sí mismo, este acto, no es suficiente para realizar operaciones bancarias en nombre de los titulares iniciales de las tarjetas SIM, sino que ha de producirse una actividad delictiva adicional e independiente a la anterior. El uso por parte de las entidades bancarias de un sistema de doble factor de autenticación que implica el envío por SMS de las claves de ratificación para la realización de determinadas operaciones es una operativa sobre la que SIMYO no tiene ninguna capacidad de decisión. No existe un nexo causal entre la suplantación de identidad para la consecución de un duplicado de la tarjeta y la realización de operaciones bancarias fraudulentas u otro tipo de operaciones de suplantación de identidad en otro tipo de plataformas online. Esta posibilidad sólo se daría cuando el medio establecido para garantizar la seguridad se correspondiese con el envío de un SMS, ya que el doble factor de seguridad no tiene por qué configurarse necesariamente de este modo, siendo esta una opción cuya elección compete a la entidad bancaria y/o al usuario correspondiente. Estos hechos son perfectamente conocidos por la AEPD que incluso tiene publicada en su web una publicación denominada “Identificación en servicios de pago online”. Este hecho es más evidente si tenemos en cuenta que el mismo efecto podría producirse también sin necesidad de suplantación de identidad ante una operadora. Este sería el caso de que un abonado decidiese dar de baja su número de teléfono y este fuera posteriormente objeto de una portabilidad. Si el usuario no adoptase la diligencia debida para actualizar su información ante las diferentes entidades a las que hubiera facilitado el dato de su número de teléfono como medio de autenticación, posibilitaría que el tercero que recibiese ese número pudiese recibir los mensajes de confirmación emitidos por dichas entidades. Igual efecto podría darse en el caso de robo de un terminal que el usuario no hubiese protegido adecuadamente (permitiendo acceder a su contenido sin necesidad emplear contraseñas, huella dactilar u otras medidas de seguridad). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/88 No obstante, SIMYO no es ajena a la problemática derivada del potencial uso de las tarjetas duplicadas con fines ilícitos. Es por ello, por lo que ha implementado mecanismos de seguridad reforzada en relación con las condiciones para su solicitud. Estas medidas se han ido incrementando en la medida que se detecta cualquier debilidad o posible mejora para garantizar la seguridad del proceso. Además, SIMYO está plenamente implicada, ya que forma parte del GT. Acciones como el cambio de SIM dejan registro en la red y son precisamente estos registros de los que se sirve SIMYO para ayudar a las entidades bancarias en la prevención de este tipo de fraudes. SEGUNDA. – GENERALIZACIÓN NO FUNDADA DE CONSECUENCIAS NEGATIVAS ASOCIADAS A LA EMISIÓN DEL DUPLICADO DE LA TARJETA SIM. Muchas de las afirmaciones contenidas entre los argumentos esgrimidos por la AEPD son inexactos o erróneos. No es cierto que “al conseguir un duplicado de la tarjeta SIM, los suplantadores automáticamente tendrán acceso a los contactos y podrán acceder a todas aplicaciones y servicios que tengan como procedimiento de recuperación de clave el envío de un SMS con un código para poder cambiar las contraseñas (…)”. Ha de indicarse que estos se pueden almacenar “físicamente” en las tarjetas SIM, por lo que esta información no estaría en los duplicados que puedan emitirse, sino que se mantendrían únicamente en la SIM original, bajo control de su titular, salvo que el usuario haya elegido almacenarlas en entornos asociados a Android o Apple en cuyo caso el operador tampoco tiene capacidad de actuación. En cuanto a la posibilidad de acceder a las cuentas de correo, bancarias y otras aludidas, es obvio que el duplicado de la tarjeta no permite, por sí solo, el acceso a las mismas, sino que es necesario, al menos, conocer el identificador del usuario para poder acceder a cualquiera de las cuentas. A mayor abundamiento, cabe puntualizar que cuando el suplantador se dirige a SIMYO para solicitar el duplicado de la tarjeta cuenta ya con mucha información relativa al interesado, que es necesaria para la gestión de la solicitud del duplicado. Por lo tanto, la obtención de esta información, de forma presumiblemente ilícita, es responsabilidad de terceros o del propio titular de los datos, existiendo en muchos casos un comportamiento imprudente de estos últimos en la custodia de su información personal. La responsabilidad de SIMYO no puede extenderse más allá de aquellas cuestiones que quedan bajo su ámbito de actuación. En lo que se refiere a la posible vulneración de los principios de seguridad, confidencialidad de los datos y de responsabilidad proactiva, si bien es cierto que existe una incidencia relacionada con la seguridad de la información, no se ha producido en puridad un acceso a datos personales de los clientes como consecuencia de esta. Por tanto, si bien durante el proceso de solicitud del duplicado se tratan datos personales, esto no implica que haya un tratamiento ilícito derivado de la falta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/88 de diligencia de SIMYO, sino que, realiza estas operaciones solicitando datos a quien supuestamente es su titular y para hacer verificaciones, no habiéndose facilitado ningún tipo de información personal que no tuviese inicialmente el solicitante. A este respecto, ha de remarcarse que los datos personales tratados de forma ilícita no son obtenidos de SIMYO, sino que los suplantadores los obtienen previamente de otras fuentes (el propio interesado o terceros responsables de dichos datos). Incluso, como consta en el expediente, el delito de suplantación va acompañado de falsificaciones de documentos públicos, como copias de DNI o presuntas denuncias presentadas a la policía, que son aportados como medio para superar las medidas de control de SIMYO. Consta en el expediente E/ 220/2020, que se realizan llamadas en las que los suplantadores se hacen pasar por SIMYO, aportando el cliente información sobre su DNI, que de cualquier forma, el suplantador no habría podido obtener. Aduce que no hay evidencia alguna de que la información de los clientes no haya sido adecuadamente protegida. No existe regulación específica alguna que establezca las obligaciones en relación con esta operativa, y la única que podría considerarse como referencia, por tener ciertas similitudes en cuanto a la materia, es la Circular 1/2009, de 16 de abril de 2009, de la Comisión del Mercado de las Telecomunicaciones. Tampoco ha quedado acreditado ni consta en las denuncias referencia alguna a que los delincuentes hayan conseguido obtener datos personales de SIMYO, por lo que no puede hablarse de incumplimiento de medidas de protección de los datos personales. La AEPD, y en procedimientos muy recientes, no venía considerando que concurriese un incumplimiento de medidas de seguridad en relación con los supuestos en los que se producía una suplantación de identidad en casos exactamente idénticos. Así, podemos citar, por ejemplo: E-04919, PS-00144-2019, PS-00235-2020, PS-00348-2020, E-01178-2020. De los distintos procedimientos sancionadores y resoluciones de archivo mencionados y cuyos hechos tratan sobre actuaciones fraudulentas a causa de suplantaciones de identidad con las tarjetas SIM, en ninguno de ellos se observa que exista una calificación por parte de esta autoridad de control como una infracción de las obligaciones de seguridad exigidas en el artículo 32 del RGPD. Invoca el artículo 54 de la Ley 30/1992, que decía: deberán de ser motivados (…) los actos “que se separen del criterio seguido en actuaciones precedentes” y la SAN 13 de mayo de 2005 y de 7 de mayo de 2007 (rec: 86/2005). Es decir, que ante supuestos de hecho iguales la aplicación de soluciones diferentes deberá justificarse “con sucinta referencia de hechos y fundamentos de derecho” del motivo de tal disparidad a fin de no atentar frente al principio de seguridad jurídica. Por otro lado, la mención realizada por la AEPD aludiendo a que “aprecia posibles vulnerabilidades” en la Política de seguridad de SIMYO “durante la fase de validación de la identidad de los solicitantes de los duplicados de SIM”, no justifica en modo alguno la calificación de los hechos. En este sentido, la fundamentación realizada se limita a hacer referencia a poC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/88 sibles vulnerabilidades, que en ningún caso se identifican, ni mucho menos se expone por qué las mismas pueden ser calificadas como insuficientes o inadecuadas. Es también destacable, como tampoco se justifica por parte de la AEPD en qué modo se afecta la privacidad de los usuarios como consecuencia de las concretas acciones llevadas a cabo por parte de SIMYO, sino que se le responsabiliza de los efectos derivados de otras actuaciones que sí implican un acceso no autorizado a los datos personales de los afectados, víctimas de supuestos de phishing o similares, que sí permiten el acceso a información personal protegida por otros responsables del tratamiento. TERCERA.- IDONEIDAD Y CUMPLIMIENTO DE LAS MEDIDAS PREVENTIVAS IMPLEMENTADAS POR SIMYO. SIMYO ha realizado un estudio detallado de sus actividades del tratamiento de datos personales llevadas a cabo y ha adoptado las medidas pertinentes para que los mismos se realicen conforme a lo dispuesto en el RGPD. En lo referente a la seguridad del proceso ha aportado evidencias de la existencia de protocolos específicos, adecuados a los riesgos identificados. Cuenta con medidas organizativas que han sido comunicadas a todo el personal implicado en el tratamiento de datos personales. Es importante indicar que las medidas organizativas de seguridad están soportadas por una Política de Seguridad de la Información y un modelo de gobierno de seguridad que se encarga de implementar y operar la seguridad, medir los niveles de madurez de los controles y gestionar los riesgos. El Grupo ORANGE mantiene y certifica Sistemas de Gestión de Seguridad de la Información basados en ISO27001 y Esquema Nacional de Seguridad. Los protocolos existentes han sido comunicados a todos los implicados. La operativa definida ha tenido en cuenta los riesgos asociados a la realización de este tipo de gestiones y los parámetros para su ejecución han sido puestos en conocimiento de las personas implicadas en su tramitación. El número de casos es ínfimo respecto al total de operaciones realizadas. Si bien se han ido aumentando los medios y controles para garantizar el estricto cumplimiento del protocolo establecido, no es posible erradicar la posibilidad de su contravención por los usuarios, puesto que, en última instancia, depende de una actuación leal por parte de la persona que tramita la solicitud, que es conocedora de las instrucciones que debe seguir en cada caso. La pretendida solución planteada por la AEPD consistente en la automatización total de los controles, si bien hipotéticamente podría permitir un mejor control de los procedimientos, tendría un coste desorbitado. La AEPD no justifica en modo alguno la proporcionalidad de la medida propuesta, ni que la misma fuera la idónea teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento. La medida supone además ignorar la realidad de la actuación de los usuarios encargados de la realización de estas gestiones, que cumplen en la práctica totalidad de los casos con las indicaciones recibidas por parte de SIMYO. IgualC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/88 mente, tampoco tiene en cuenta el escaso número de supuestos en los que se ha producido una contingencia asociada a la solicitud de un duplicado de tarjeta, que concretamente representa el ***NÚMERO.6 % de los casos. Por otro lado, pretender sin más que se implante una medida que automáticamente anule un riesgo resulta un análisis excesivamente simplista, que no tiene en cuenta el contexto en el que se producen los hechos ni la complejidad de la gestión de las situaciones en que un abonado requiere de este tipo de servicio. CUARTA. - ACTUACIÓN DILIGENTE DE SIMYO. SIMYO no ha implementado “medidas de seguridad estáticas”, sino que, ha procedido sistemáticamente a implementar mejoras en las medidas adoptadas en cuanto ha tenido conocimiento de la existencia de cualquier vulnerabilidad. En lo referente al contenido del considerando 75 del RGPD que la AEPD trae a colación, ha de reiterarse que los datos personales de las víctimas son usurpados con anterioridad a que los delincuentes se dirijan a SIMYO y que, precisamente como consecuencia de tener acceso a información personal que solo debiera estar en posesión del interesado, permiten materializar la suplantación de identidad. Esta circunstancia en nada obsta el hecho de que SIMYO haya cumplido con sus obligaciones, conforme a lo expuesto en el considerando 83 del RGPD al que alude la AEPD. No puede hablarse en ningún caso de negligencia, ya que las circunstancias concretas en las que se producen los hechos, en la que los delincuentes bajo la apariencia de víctimas de un robo y empleando argucias y documentación fraudulenta con apariencia real consiguen engañar a la persona a la que se solicita el duplicado. Las posibilidades de verificación de la documentación aportada son en la práctica muy limitadas. Por lo tanto, se trata de un engaño suficiente, por revestir éste “apariencia de realidad y seriedad suficiente para engañar a personas de mediana perspicacia y diligencia” (así considerado, entre otras muchas, en la STS 2362/2020). Concurren puntualmente ciertos incumplimientos parciales de los protocolos dispuestos por SIMYO, que en determinados casos contribuyen a la consecución del fin perseguido por los defraudadores. Sin embargo, esto no permite concluir que estos hechos pongan “de manifiesto una serie de vulnerabilidades en las medidas de seguridad implantadas y, por lo tanto, se infiere la responsabilidad de SIMYO como responsable del tratamiento en términos de negligencia, falta de supervisión y control”. Al contrario, las medidas implementadas son adecuadas para mitigar, de forma mayoritaria, los riesgos relacionados con este tipo de fraudes. En la práctica, tal y como consta informado, la eficiencia de estas medidas roza el 100% de los casos. Ha de recordarse que, existen factores de seguridad combinados que dificultan el objetivo de los defraudadores. En este sentido, entre los protocolos constan las diferentes medidas adoptas en función del medio por el que se solicita el duplicado y en la posterior fase de entrega y activación de la SIM. Solo en supuestos excepcionales en los que los medios empleados para la deC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/88 sarrollar las estafas son especialmente sofisticados, combinado en algún supuesto con concretas omisiones de algunos de los requisitos establecidos por SIMYO por parte de los implicados en la tramitación de las solicitudes, se ha producido el resultado de suplantación. En este sentido, puede emplearse como referencia la Circular 1/2016 de la Fiscalía General del Estado, relativa los protocolos de Compliance penal en la que se sostiene que “el delito no invalida necesariamente el programa de prevención, que puede haber sido diseñado e implementado adecuadamente sin llegar a tener una eficacia absoluta". Según SIMYO, ha quedado acreditado que: - Ha establecido protocolos adecuados para la prevención de suplantaciones de identidad en el proceso de solicitudes de duplicados de tarjeta. - Ha comunicado debidamente el contenido de estos protocolos y las obligaciones que corresponden a las personas implicadas en la tramitación de estas solicitudes. - Ha realizado mejoras en los procesos cuando ha tenido conocimiento de vulnerabilidades, tales como refuerzos en las garantías y limitación de canales para la solicitud o inclusión de nuevos métodos de control más eficaces (como el sistema SIM Swap lanzado en octubre de 2020). - Ha actuado de la manera más diligente posible, de forma inmediata, eficiente y ejecutiva, en los casos en los que se ha tenido conocimiento de cualquier hecho relacionado con suplantaciones de identidad. - Cuenta con sistemas para la verificación del cumplimiento de sus obligaciones por parte de las personas implicadas en la realización de los procesos de solicitud de duplicados de tarjetas. A mayor abundamiento, se informa de que recientemente las denuncias presentadas con motivo de este tipo de delitos están empezando a dar resultados relevantes en forma de detenciones. En consecuencia, la actividad de SIMYO no puede ser catalogada como negligente, ni ha existido falta de supervisión o control. Invoca la STS 1232/2018 de 18 de julio de 2018. Así, de acuerdo con el criterio del Tribunal Supremo, no cabría responsabilizar a SIMYO aun cuando su empleado o colaborador hubiera sido negligente en su actuación, ya que se requerirían "actuaciones culposas o dolosas" por su parte, que bajo ningún concepto se han producido. De igual forma, el TSJ de Madrid en su Sentencia 568/2020 de 10 Sep. 2020 establece: "Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple. Y no existe negligencia, ni por tanto infracción, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones tributarias" (artículo 179.2.
5. d)de la LGT 58/2003)". En vista de lo anterior, considera que la jurisprudencia analizada ampara el comportamiento de SIMYO, al haber establecido un protocolo de actuación elaborado teniendo en cuenta los riesgos existentes, que fue puesto a disposición de todos los implicados y que, si se hubiera seguido por estos, no se habría accedido a la entrega de la copia ilícita de la tarjeta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/88 Además, con respecto a la responsabilidad in vigilando de la sociedad, resulta incuestionable que únicamente se puede achacar cuando se trate de actuaciones culposas o dolosas, no así negligentes como ha sido identificada la actuación de SIMYO por la propia AEPD. QUINTA. – FALTA DE PROPORCIONALIDAD DE LA SANCIÓN PROPUESTA. No se ha producido un incumplimiento de la normativa de protección de datos, ya que, SIMYO ha tomado todas las medidas técnicas y organizativas necesarias para evitar el fraude en la solicitud de los duplicados de las tarjetas SIM. La sanción propuesta es en todo caso desproporcionada, atendiendo a las circunstancias y contenido de las supuestas infracciones. En cuanto al número de casos existentes que la Agencia considera como agravante, son tres y se cuenta con una excelente capacidad de reacción, así como de medidas preventivas y correctoras. En cuanto al nivel de los daños y perjuicios sufridos no es factible tratar de responsabilizar a SIMYO respecto de situaciones relativas al uso de los duplicados de la tarjeta que derivan de incidentes de seguridad de la información con los que SIMYO no tiene relación alguna. La duplicación de la tarjeta no deriva directamente, ni necesariamente, en operaciones bancarias fraudulentas, ya que las medidas de seguridad y los accesos a los que se tienen para realiza las operaciones bancarias son totalmente ajenos a la duplicación de la tarjeta SIM. Por todo lo anterior, los supuestos daños y perjuicios señalados por la AEPD no cabría imputarlos a SIMYO ni, por tanto, considerarse un agravante. Tampoco cabe interpretar intencionalidad o negligencia en su actuación. En todo caso, ha de ser considerada diligente y actuar este hecho como atenuante de la sanción. Sobre el grado de responsabilidad: se han detallado a lo largo del requerimiento de información las muchas medidas adoptadas, así como las mejoras que se han ido introduciendo incluida la imposibilidad de permitir cambios de la dirección de envío durante una petición de cambio/duplicado de SIM. Destaca la eliminación de la posibilidad de solicitar duplicados de tarjetas SIM en los Puntos de Venta, con fecha 23 de agosto de 2019, así como a través del Área personal de cliente (eCare) o mediante la App. Igualmente, interesa resaltar el Plan de acción en SIMYO para lograr los desarrollos y mejoras tecnológicas necesarias para que las solicitudes de cambio de domicilio postal, correo electrónico, entre otros datos de contacto, se verifiquen mediante un SMS certificado. Categorías de datos personales afectados por la infracción: la tarjeta SIM no permite la suplantación de la identidad, sino que sirve solamente para la recepción de las claves de confirmación de operaciones bancarias en determinados supuestos. Esto no significa que el suplantador pueda operar en nombre del afectado, a menos que se haya saltado las medidas de seguridad de otras entidades, como las de la entidad bancaria. Por otro lado, con respecto a los atenuantes, si bien recoge la existencia de medidas paliativas, omite toda medida preventiva implementada por SIMYO. Todo ello, supone que la atenuación deberá ser superior. Igualmente, se considera la falta de beneficio económico obtenido por SIMYO. Sin embargo, se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/88 de resaltar que SIMYO es una víctima más del entramado criminal realizado por los suplantadores. En este sentido, teniendo en cuenta las circunstancias concurrentes y la nula culpabilidad de SIMYO, en el caso de que se considere que existe algún tipo de infracción, la propuesta de sanción económica incluida en el Acuerdo de Inicio debería ser sustituida por la adopción de las medidas correctivas (artículo 58 RGPD), consistentes en la advertencia o apercibimiento al responsable y la imposición de la obligación de la adopción de medidas para realizar los tratamientos “de una determinada manera y dentro de un plazo especificado”. DÉCIMO CUARTO: Con fecha 27 de abril de 2021, se recibe en esta Agencia escrito del representante de SIMYO por el que aduce alegaciones complementarias a las anteriores y adjunta la siguiente documentación: DE CARÁCTER GENERAL: - Documento 1: (…) - Documento 2: (…) - Documento 3: (…) - Documento 4: (…) DE CARÁCTER TÉCNICO - Documento 5: (…) - Documento 6: (…). Estas alegaciones y las anteriores ya fueron contestadas en la Propuesta de Resolución y se reiteran, en parte, en los Fundamentos de Derecho (en adelante, FD) de esta Resolución. DÉCIMO QUINTO: Transcurrido el plazo de alegaciones concedido en el Acuerdo de iniciación y presentadas alegaciones, con fecha 30 de abril de 2021, la instructora del procedimiento acuerda la apertura de un período de práctica de pruebas, notificado a SIMYO en fecha 4 de mayo de 2021, en los siguientes términos: “Se dan por reproducidas a efectos probatorios las reclamaciones interpuestas por C.C.C. y A.A.A., su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ORANGE ESPAÑA VIRTUAL, S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/11418/2019. 2. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio PS/00046/2021 presentadas por ORANGE ESPAÑA VIRTUAL, S.L, en fecha 8 de marzo de 2021, a través del Registro General de esta Agencia, y la documentación que a ellas acompaña: Documento 1 (…) 3. Por último, se dan por reproducidas a efectos probatorios, las alegaciones “complementarias” al acuerdo de inicio PS/00046/2021 presentadas por ORANGE ESPAÑA VIRTUAL, S.L, en 27 de abril de 2021, a través del Registro General de esta Agencia, y la documentación que a ellas se acompaña: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/88 - Documento 1: (…) - Documento 2: (…) - Documento 3: (…) - Documento 4: (…) - Documento 5: (…) - Documento 6: (…) DÉCIMO SEXTO: Con fecha 7 de octubre de 2021, la instructora del procedimiento formula Propuesta de Resolución, en la que propone que por la directora de la AEPD se sancione a ORANGE ESPAÑA VIRTUAL, S.L., con NIF B85057974, por infracción del artículo 5.1.
6. f)del RGPD, tipificada en el artículo 83.5.
7. a)del RGPD y en el artículo 72.1.
8. a)de la LOPDGDD, con una multa administrativa de 70.000,00 (setenta mil euros). Con fecha 14 de octubre de 2021, a través de Carpeta Ciudadana, se notifica la Propuesta de Resolución. DÉCIMO SÉPTIMO: Con fecha 19 de octubre de 2021, SIMYO solicita la ampliación del plazo para formular alegaciones a la Propuesta de resolución. DÉCIMO OCTAVO: Con fecha 20 de octubre de 2021, la Agencia acuerda una ampliación del plazo para aducir alegaciones en un día hábil más, esto es, hasta el día 29 de octubre de 2021. DÉCIMO NOVENO: Con fecha 29 de octubre de 2021, SIMYO, formula alegaciones a la Propuesta de Resolución en las que se ratifica y da por reproducidas las alegaciones y argumentaciones jurídicas realizadas al Acuerdo de Inicio (antecedentes DÉCIMO TERCERO y DÉCIMO CUARTO) y además, añade otras: PRIMERA: INFRACCIÓN. Pone de manifiesto que en los Antecedentes y en los Hechos Probados de la Propuesta de Resolución de la Agencia mezcla y confunde los dos supuestos de hecho de las dos reclamaciones. En la misma línea, a ambos reclamantes se les asocia en los Antecedentes el email ***EMAIL.1, cuando es obvio que dicha dirección de correo sólo corresponde a uno de los dos reclamantes. Estos hechos causan una evidente indefensión a SIMYO, que no puede discernir con claridad el relato de hechos para imputarle una supuesta infracción. Es de destacar que en los FD se declara inmediatamente la comisión por parte de SIMYO de una infracción del artículo 5.1.
9. f)del RGPD en base a los hechos tenidos por probados. Ello, con anterioridad siquiera a tratar de justificar el motivo. Este proceder, aunque solo sea a afectos formales, resulta jurídicamente poco apropiado y podría considerarse cierta predisposición de la AEPD para sancionarla, con independencia de las alegaciones que pueda hacer en su defensa, habida cuenta que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/88 no se ha producido tal infracción. SEGUNDA: TRATAMIENTO DE DATOS PERSONALES Y RESPONSABLE DEL TRATAMIENTO. Se requieren una serie de matizaciones en relación con que el proceso de duplicado de una tarjeta SIM supone el tratamiento de datos personales. La información tratada durante el proceso de duplicado de una tarjeta SIM es la información identificativa del titular de la línea, no la información técnica contenida en dicha tarjeta, con excepción del MSISDN, dado que su contenido no es otro que el propio número de teléfono (precedido del prefijo nacional). Estos y no otros son los datos objeto de tratamiento realizados por SIMYO en calidad de responsable. Toda esta información ya era conocida por los delincuentes con anterioridad a solicitar el duplicado, tras haberlos obtenido previamente de forma ilícita por medio de técnicas de ingeniería social como “phishing” o “spoofing”. Por lo tanto, no es cierta la afirmación sobre que “SIMYO, es la responsable de los tratamientos de datos referidos en los antecedentes expuestos”, ya que en los mismos se hace referencia a otros tratamientos que no son de su responsabilidad. No consta que se haya tratado por los clientes ninguna información que pueda estar contenida en las tarjetas SIM, como el IMSI, ni mucho menos información sobre el listado telefónico o el de llamadas y mensajes. En cuanto al IMSI, no hay ninguna prueba o indicio de que este dato haya sido tratado con ningún fin. Tampoco es sostenible la afirmación realizada por la AEPD de que la tarjeta SIM es, en sí misma, un dato personal. La tarjeta puede contener información personal, pero no es un dato y aunque pudiera considerarse esta información como dato personal por hacer potencialmente identificable al titular de la línea, lo cierto es que la posibilidad de identificación por parte de terceros distintos de la operadora requeriría de información adicional que no está disponible, por lo que aun en caso de calificarlos como datos personales, tendrían la consideración de dato seudoanonimizado. TERCERA. ALEGACIONES ADUCIDAS. 1. ALEGACIÓN PREVIA.- EXISTENCIA DE UN GT SOBRE DUPLICIDAD DE LAS TARJETAS SIM LIDERADO POR LA AEPD. La quiebra de la confianza legítima no se debe a las afirmaciones que pudo haber realizado la Agencia validando la actuación de SIMYO. El menoscabo de este principio se debe a que la apertura del expediente sancionador se produce en el marco de una colaboración en el que se constituye un GT específico para abordar una actividad delictiva (“SIM Swapping”), en cuyo seno se integran tanto las operadoras de telecomunicaciones como la banca, así como otras Administraciones y Autoridades implicadas, creado con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/88 la intención de proteger a los afectados, y que tiene por objeto analizar de forma conjunta las amenazas y los mecanismos de defensa, con el objetivo de clarificar posibles acciones que ayuden a mitigar los riesgos de suplantación de identidad. En este sentido, si bien la participación de la AEPD en el GT no implica la validación de la actuación de SIMYO, sí evidencia el reconocimiento de la problemática existente y la dificultad que plantea su prevención: se trata de una problemática generalizada y recurrente, que afecta a múltiples entidades y operadores de telecomunicaciones cuya solución es altamente compleja y, si bien se ha mostrado la voluntad conjunta de acabar con dichos supuestos, erradicarlos, resulta un objetivo complicado, habida cuenta de la capacidad de los delincuentes para actualizar sus técnicas y desplegar medios cada vez más sofisticados para conseguir sus objetivos . En este contexto, no parece lógico exigir a las operadoras, y en concreto a SIMYO, el despliegue de una diligencia de eficacia absoluta. Sin embargo, es dentro de este marco en el que la AEPD decide abrir un expediente, empleando como pretexto la existencia de determinadas noticias en prensa cuando tiene conocimiento de primera mano, por parte de las operadoras, de la existencia y características de estos delitos. Es más, dicha información se puso en su conocimiento en la confianza de que todas las entidades presentes emplearan la información de buena fe y no para fines distintos de aquéllos para los que se constituía el GT. La Agencia usa este conocimiento para emplearlo con el objetivo de sancionar tratando de hacerlas responsables por unos delitos de los que son víctimas, el que dista mucho de ser leal y el que quiebra de forma obvia la confianza en una Autoridad que prefiere emprender la vía sancionadora ante entidades que, le consta fehacientemente, están trabajando de forma proactiva para la mejora de la seguridad. Por otro lado, es obvio que la AEPD está vinculada por el principio de legalidad, pero no es cierto, como pretende, que sea este principio el que la avoca a sancionar. La normativa prevé mecanismos alternativos para situaciones en las que el objetivo debiera ser mejorar la seguridad de las operaciones de tratamiento realizadas. La función de la AEPD es, conforme al Real Decreto 389/2021, de 1 de junio, por el que se aprueba su Estatuto, la de “supervisar la aplicación de la normativa vigente en materia de protección de datos personales con el fin de proteger los derechos y libertades de las personas físicas”. Para dicho objetivo, sus facultades no se limitan a la actividad sancionadora, sino que el artículo 58 del RGPD dispone de alternativas correctivas, tales como la advertencia, el apercibimiento o, incluso, ordenar cuando proceda que las operaciones de tratamiento se realicen de una determinada manera y dentro de un plazo especificado. En este sentido, como la propia AEPD recuerda, las sanciones tienen una finaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/88 lidad disuasoria y es más que evidente que, no necesitan el acicate de una sanción para proteger los datos de sus clientes. 2. ALEGACIÓN PRIMERA.- INCORRECCIÓN Y FALTA DE EXACTITUD EN LAS APRECIACIONES SOBRE EL FRAUDE DE DUPLICADO. La AEPD introduce una exposición teórica para tratar de justificar que, como consecuencia del acceso al duplicado de la tarjeta SIM, se produjo un acceso a datos personales contenidos en la propia tarjeta. En primer lugar, ha de aclarase que la SIM no permite el acceso al IMEI. En lo que se refiere al IMSI, no hay ninguna prueba o indicio de que este dato haya sido tratado por los delincuentes con ningún fin, por lo que, no se ha acreditado que su confidencialidad haya sido afectada. Adicionalmente, tampoco se ha acreditado que se accediera a ninguna otra información personal custodiada por SIMYO distinta de la que aportan los propios delincuentes obtenida mediante técnicas de ingeniería social como “spoofing” y “phishing”, por lo que, SIMYO no ha permitido el acceso por terceros no autorizados a información personal a la que éstos no tuvieran acceso de forma previa y, consecuentemente, no ha habido quiebra de la confidencialidad. La AEPD entremezcla en sus consideraciones el concepto de acceso a datos personales como consecuencia de la duplicación de la tarjeta SIM con la realización de las operaciones bancarias. Cualquier responsabilidad derivada de la duplicación de las tarjetas, se restringiría, desde el punto de vista de la protección de datos, al tratamiento de información relacionada con los servicios que presta (consumos asociados al contrato, acceso a área privada, contrataciones, etc.) y sobre la que no existe constancia alguna que se haya producido. Sin embargo, la AEPD trata de hacer responsable y sancionar a SIMYO por las consecuencias de las operaciones realizadas por las entidades bancarias. Confunde las obligaciones de diligencia en el tratamiento de datos personales con una supuesta obligación de dotar de seguridad las operaciones bancarias en relación con la identidad de los clientes de estas terceras entidades. Es decir, traslada la responsabilidad en la identificación por parte de las entidades bancarias hacia las operadoras de telecomunicaciones. Las entidades bancarias son las únicas responsables de la seguridad de sus operaciones. Así lo confirma además la Autoridad Bancaria Europea (EBA), que en su “Opinión sobre la implementación de métodos de autenticación reforzada”, en su apartado relativo a quién decide sobre los medios a emplear para dicha autenticación (puntos 37 y 38), dictamina que las credenciales de seguridad utilizadas para realizar la autenticación segura de los usuarios de los servicios de pago son responsabilidad de la entidad gestora de servicios de cuenta (los bancos). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/88 Que los bancos se decanten habitualmente por el sistema de confirmación mediante el envío de un SMS es una decisión de su exclusiva responsabilidad. Es un método muy extendido y no es especialmente seguro. Remite a la Digital Identity Guidelines: Authentication and Lifecycle Management, del “National Institute of Standards Department”, que dictamina que el SMS no se debería utilizar en la autenticación de dos factores, por la cantidad de riesgos de seguridad a las que está sometida en la entrega de un SMS. Por su parte, la Autoridad Bancaria Europea (EBA), en una de sus respuestas a las preguntas planteadas desde el sector (Qualification of SMS OTP as an authentication factor | European Banking Authority (europa.eu)) si bien contempla el SMS como factor de confirmación admisible, recuerda que el uso de SMS ordinarios no es factible para la confirmación de operaciones bancarias, por no ser suficientemente seguros conforme a los estándares de la Directiva PSD2. Adicionalmente, señala, que este tipo de informaciones son de dominio público y remite a tres enlaces. Por este motivo, el hecho de que el modus operandi para la realización fraudulenta de operaciones bancarias pueda realizarse mediante un SIM SWAP no puede considerarse en modo alguno una admisión de responsabilidad sobre la seguridad de estas operaciones. De hecho, la diligencia de las operadoras está obligando a los delincuentes a buscar métodos alternativos para obtener el contenido de los SMS. Remite a noticias e información difundida por la Policía Nacional a través de redes sociales. Reitera que, la responsabilidad de las operadoras no puede abarcar las operaciones bancarias que los delincuentes puedan realizar como consecuencia de que las medidas de seguridad implementadas por las entidades bancarias sean inadecuadas. No puede hacerse cargo de la seguridad de la información de terceras entidades por el mero hecho de que usen servicios de telecomunicaciones. Aduce que la Agencia exige una responsabilidad objetiva, en la que a partir de un resultado se deduce una culpa, sin que medie ningún tipo de valoración sobre la diligencia desplegada, interpretación proscrita por el Derecho español. 3. ALEGACIÓN SEGUNDA.- GENERALIZACIÓN NO FUNDADA DE CONSECUENCIAS NEGATIVAS ASOCIADAS A LA EMISIÓN DEL DUPLICADO. La AEPD no ha aportado ningún hecho o fundamento que sostenga su interpretación. Admite que para la ejecución de operaciones bancarias el delincuente necesita, además del duplicado de la SIM, acceder adicionalmente a la información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/88 personal que obtiene de forma ilícita de la entidad bancaria o del usuario, por lo que no son una consecuencia de la obtención del duplicado. Y en lo que se refiere a las modalidades delictivas que pretenden “otras finalidades”, las argumentaciones utilizadas para justificar la presunta responsabilidad de SIMYO son meras elucubraciones, que se refieren a riesgos potenciales, que ni se han materializado ni son objeto del presente procedimiento y, desde un punto de vista técnico, distan mucho de ser correctas. Pretender que el acceso a una tarjeta SIM permite por sí solo determinados accesos, implica un desconocimiento interesado del funcionamiento de los mecanismos de seguridad asociados a la mayor parte, por no decir la totalidad, de los servicios a los que se hace referencia. La posibilidad de acceder a las cuentas de un usuario requiere de información adicional no disponible en la tarjeta SIM. Las afirmaciones sobre la facilidad de su obtención carecen de todo fundamento y, lo que es más importante, no se ha materializado ni es objeto del presente procedimiento ninguno de los riesgos a los que la AEPD hace referencia, por lo que su inclusión en este fundamento es totalmente improcedente. La AEPD hace referencia a la superación puntual por parte de un tercero – tercero, que debemos identificar como criminales organizados, con altos conocimientos informáticos, y un elaborado modus operandi en el que, entre otras, utilizan técnicas de ingeniería social- a una falta de seguridad, sin evaluar el nivel de diligencia desplegado por SIMYO. SIMYO únicamente reconoce que es necesario implementar nuevas medidas ante la comisión de esta tipología de fraudes, y es, precisamente, este modelo de gestión, de mejora continua, acorde al espíritu del RGPD y al artículo 5.2, (como la propia Agencia ha reconocido), la que hace que SIMYO no haya cometido infracción alguna en su tratamiento de datos personales, porque se han desplegado unas medidas de seguridad apropiadas, sometidas a revisión y mejora. En cuanto a la mejora de los controles de cumplimiento de los protocolos, si bien son deseables, no pueden obviar la presencia del factor humano. Por muy férreo que sea el control o la monitorización de su actividad, siempre cabe una posibilidad de incumplimiento. Así, por ejemplo, no resulta posible controlar si un gestor ha realizado o no una pregunta determinada a un cliente, ni contrastar que la respuesta sea la correcta. Del mismo modo que un usuario autorizado siempre tiene la opción de revelar información confidencial de la que tenga conocimiento. En relación con las dos duplicaciones de tarjetas SIM, éstas se deben a una inadecuada aplicación de los protocolos establecidos por SIMYO. Debe recordarse que, además, en ambos casos se superan las medidas de seguridad porque los suplantadores conocían los datos personales de los reclaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/88 mantes. Con relación a las afirmaciones contenidas en el Hecho Probado Séptimo, sobre supuestas incongruencias entre la “Política de Seguridad” y la “Documentación Duplicado de la SIM”, hay que indicar que las mismas no son excluyentes, sino que se complementan: aunque ambos documentos van dirigidos a los agentes que tramitan peticiones en el Call Center, el documento “Documentación Duplicado de SIM” es anterior a la “Política de Seguridad”, pese a que sea únicamente por unos días. Es por ello por lo que el documento más reciente, (la “Política de Seguridad”) es el que robusteció el protocolo de seguridad e incorporó el requisito de solicitud de ICCID o PUK junto con el DNI, como medidas adicionales de garantía de identidad. Este nuevo protocolo tiene en consideración cuatro niveles de riesgo, en los que se clasifica el tipo de solicitud del cliente, siendo, precisamente, la solicitud de duplicado de tarjeta SIM el acto comercial al que se le asignó en dicho documento un riesgo crítico, estableciendo por ello medidas adicionales a las ya previstas en el documento anterior. En relación con las diferencias entre los puntos 4 y 5 de “Documentación Duplicado de SIM” y el documento “Nuevo Modelo de Gestión”, indicar que el último tiene fecha de 2019, por lo que es anterior a todos los demás documentos mencionados. La diferencia en este caso viene derivada del contexto de emergencia sanitaria y pandémica que tuvo lugar en marzo de 2020: si bien en 2019 el documento “Nuevo Modelo de Gestión” recogía la imposibilidad de modificar la dirección de entrega de la tarjeta SIM, la situación durante la primavera de 2020 obligó a modificar todos los procedimientos, y, entre ellos, se habilitó la posibilidad de modificación de la dirección de entrega. El documento posterior “Documentación Duplicado de SIM” permitió los cambios de dirección de envío siempre y cuando fuese en la misma provincia. Este cambio está justificado por la imposibilidad de entregar el pedido en los centros de trabajo y en los Puntos de Venta durante la emergencia sanitaria. Así, se descontextualiza la información recogida en los procedimientos internos de SIMYO con la intención de identificar contradicciones, cuando, en realidad, dichos matices únicamente se deben a los diferentes marcos temporales en los que se emiten los diversos documentos. 4. ALEGACIÓN TERCERA. – IDONEIDAD Y CUMPLIMIENTO DE LAS MEDIDAS PREVENTIVAS IMPLEMENTADAS. La AEPD pone en duda los protocolos que SIMYO utiliza. Sin embargo, los argumentos que emplea para realizar esta afirmación son contradictorios. Por lo tanto, siguiendo el criterio de efectividad apuntado por la propia AEPD y aunque lo deseable es siempre conseguir la anulación del riesgo, el porcentaje que representan los casos, ***NÚMERO.4 %, no permite calificar los protocolos como inapropiados. El enfoque del riesgo introducido por el RGPD viene a determinar que, ante la imposibilidad de un riesgo cero, las medidas adecuadas serán aquellas que, dentro del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/88 estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, permitan reducir el riesgo inherente al mínimo riesgo residual posible. Imponer una sanción porque en dos supuestos aislados entre más de 800.000 se haya producido un resultado indeseado supone adoptar un principio de responsabilidad objetiva en el ámbito sancionador vetado por nuestro Ordenamiento Jurídico. El artículo 28 de la LRJSP, anuda la responsabilidad a la concurrencia de dolo o culpa, ya no recoge el último inciso del artículo 130 de la Ley 30/1992, es decir, la posibilidad de que se responda "... aún a título de simple inobservancia". El Tribunal Constitucional, desde su Sentencia 76/1990, ha venido advirtiendo sobre la responsabilidad objetiva y, la exigencia en todo caso de que la Administración, a la hora de sancionar, pruebe algún grado de intencionalidad. Exige la concurrencia de culpabilidad en los grados de dolo y culpa o negligencia grave, no siendo suficiente la mera negligencia. Por lo tanto, la superación por un tercero de las medidas de seguridad no puede determinar por sí sola que las mismas no sean adecuadas o suficientes. Se remite a los expedientes E/05168/2021, E/00536/2016, E/02237/2020 E/ 02723/2020, E/06963/2020, E/00722/2020, E/09882/2020 y argumentaciones de la Agencia, exponentes de una dualidad de criterios que le causa una evidente indefensión, no sabe con certeza a qué atenerse, ni qué medidas cabe implementar, cuando las mismas son consideradas adecuadas en ciertas ocasiones, y, en otras, constitutivas de una infracción de carácter muy grave. Asimismo, se remite a los expedientes E/05272/2018, E/07129/2014, E/ 08205/2019, E/5441/2018. No es entendible que, a pesar del volumen de datos afectados por las brechas aludidas, se aprecie un nivel de diligencia adecuado y, sin embargo, en el presente procedimiento, donde únicamente dos interesados se han visto afectados, no se valore como adecuado el nivel de diligencia mostrado, a través de las medidas de seguridad, detección y corrección, teniendo en cuenta el número de procesos de duplicado de SIM realizados. SIMYO también es víctima de un “ataque” dirigido por organizaciones criminales que cuenta con técnicas digitales y de ingeniería social dirigidas exclusivamente a vencer las medidas de seguridad implantadas. Así, las medidas apuntadas por la AEPD relativas a “la inclusión de estas en el sistema de información, (…), incluso con controles en las pantallas del sistema de información (…)” no garantizan ninguna mejora en el control de estas actividades. Cualquier agente podría aceptar los botones para continuar el proceso pese a no haber llevado a cabo la medida de seguridad concreta. Las opciones de monitorización total de los empleados, además de no ser proporcionadas conforme a la normativa de protección de datos, tendrían un coste desC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/88 proporcionado, considerando que debería controlarse exhaustivamente a todos los agentes potencialmente intervinientes en una operación de este tipo (máxime teniendo en cuenta que el control debería llevarse a cabo en tiempo real), cuando la estadística demuestra que las incidencias relacionadas son ínfimas. Por otro lado, ha quedado acreditado que todos los agentes han recibido la formación necesaria y que la información y la gestión se realiza sin ninguna incidencia en la práctica totalidad de los casos. Adicionalmente, es posible la verificación de cumplimiento de las obligaciones, ya que la actividad de los usuarios queda registrada. Todo lo anterior, sin perjuicio de que, en su proceso de mejora continua de la seguridad, SIMYO sigue analizando posibles mejoras en todos sus procesos. Sobre la documentación contractual con las empresas de entrega, hay que señalar que en los dos supuestos que nos conciernen, no interviene ninguna empresa o proveedor de servicios de entrega. Los certificados que SIMYO ostenta, como parte del Grupo Orange, reconocidos por el Esquema Nacional de Seguridad (ENS), tienen un alcance amplio, que no engloba únicamente los sistemas de información, sino que existen una serie de controles que aplican a toda la organización, en atención a diferentes aspectos, inclusive: protección de datos, seguridad en redes, uso de sistemas de información, formación y concienciación y seguridad en el proceso de recursos humanos. Estos controles son transversales a toda la organización. Lejos de querer eludir la responsabilidad, lo que se solicita es, precisamente, que tal responsabilidad se ciña al tratamiento efectivamente realizado, sin extender la responsabilidad correspondiente a otras entidades, como las operaciones y transacciones efectuadas por diferentes entidades bancarias. Por último, hay que indicar que el carácter de derecho fundamental del derecho a la protección de datos no elimina la necesidad de examinar la diligencia desplegada por SIMYO, ni la consideración del porcentaje ínfimo de incidencias que se han producido en los procesos de duplicado de tarjeta SIM. 5. ALEGACIÓN CUARTA. – ACTUACIÓN DILIGENTE DE ORANGE. La redacción es totalmente confusa y contradictoria, de forma que cada párrafo parece afirmar lo contrario de lo que dice el anterior, para finalmente acabar proyectando una indeterminada falta de diligencia como motivo último de la sanción. La AEPD considera que ha incumplido el artículo 5.1.f), el denominado principio de integridad y confidencialidad. Recalca las contradicciones de la Agencia e invoca que le provoca total indefensión, por cuanto a pesar de que ha conseguido acreditar en el procedimiento el cumplimiento de su deber de diligencia y ser este reconocido, es objeto de una proC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/88 puesta de sanción por un motivo indeterminado, ante el cual no puede presentar prueba alguna. Todo ello trae causa en que la AEPD está evaluando la responsabilidad de SIMYO atendiendo únicamente a un resultado, constituyendo un supuesto de responsabilidad objetiva, resultándole indiferente la diligencia desplegada en sus medidas preventivas y paliativas. Motivos por los que las mismas deben ser desechadas: • La AEPD reconoce que “El enfoque de riesgos y el modelo flexible al riesgo impuesto por el RGPD […] no impone en ningún caso la infalibilidad de las medidas (…)”. Sin embargo, pretende sancionar por dos supuestos puntuales entre casi un millón. • Respecto a la imposibilidad de verificar el DNI en el caso de la parte reclamante dos, a pesar de disponer de un software específico, se trata de una imposibilidad técnica, no un error en el procedimiento de seguridad. • Indica que la culpa tiene que ver con la diligencia desplegada, no con un hecho objetivo como el número de datos tratados. • “La infracción deviene no por la carencia de una política específica de seguridad para la expedición de los duplicados SIM, sino por la necesidad de su revisión y refuerzo”. A pesar de haber reconocido que, “SIMYO ha actuado diligentemente a la hora de minimizar el impacto a los posibles afectados implantando nuevas medidas de seguridad para evitar la repetición de incidentes similares en un futuro”. • La AEPD vuelve a introducir un nuevo criterio para la responsabilidad de SIMYO en los supuestos analizados, indicando que ésta “está directamente relacionada con la generación de consecuencias en terceros”. Traslada a SIMYO la responsabilidad sobre tratamientos sobre los que no tiene ninguna capacidad de control. • El concepto de mejora, abstracto y genérico al que alude la Agencia, permitiría calificar cualquier protocolo como inadecuado, en tanto todo proceso es susceptible de mejora. • Incluye determinada jurisprudencia relativa a la culpa, en la que se reconoce que ésta no concurre si se justifica “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” o se indica que “no existe negligencia, ni por tanto infracción, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones”. • La responsabilidad de una persona jurídica ha de valorarse en función de la diligencia desplegada como entidad, manifestada a través de los procedimientos e instrucciones aprobados por esta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/88 Sin embargo, no se plantea por la AEPD que los riesgos generados por terceros (entidades bancarias) y que son de su responsabilidad, serían mitigables de forma mucho más sencilla si estos adoptasen medidas adecuadas para mejorar la seguridad de las operaciones que realizan. Motivos por los que SIMYO no debe ser objeto de sanción: La confidencialidad de los datos tratados en el proceso de la duplicación de la tarjeta SIM se quebró previamente por parte de las entidades bancarias. SIMYO no tiene control sobre esta operativa ni puede incidir en su habilitación/procedimiento/ejecución. La sucesión de suposiciones y posibilidades no puede servir, bajo ningún concepto, como justificación, para imponer a SIMYO una infracción sin entrar a valorar, motivadamente, el nivel de diligencia desplegado y los hechos realmente acaecidos. Estas amenazas identificadas por la AEPD recaen fuera del ámbito de actuación de SIMYO. La AEPD aprecia culpa de la conducta de SIMYO, si bien, lejos de identificar y relatar la conducta concreta, se limita a referirse al resultado. Este proceder no es conforme a la legalidad vigente, como ha indicado la Audiencia Nacional, entre otras, en la Sentencia de la Sala de lo Contencioso-administrativo, Sección 1ª, de 23 de Diciembre de 2013, Rec. 341/2012: Ha de recordarse que la referencia a la “simple inobservancia” ha sido eliminada por la actual Ley 40/2015, por lo que sería necesaria una falta de diligencia cualificada. Invoca la SAN, Sala de lo Contencioso, de 25 de febrero de 2010, nº de Recurso 226/2009”. El mero error humano no puede dar lugar, por sí mismo, a consecuencias sancionadoras. Ha de remarcarse la similitud del presente supuesto con el recogido en la SAN de 25 de febrero de 2010: se trata de intrusiones cometidas de manera ilegal, por terceros organizados y con altos conocimientos informáticos, dirigidos a una actividad delictiva muy elaborada. El hecho de que se venga considerando por parte de la AEPD y los Tribunales que en el caso de los ataques técnicos (hacking), dirigidos contra compañías, se considere que su diligencia no abarca tener capacidad para rechazar este tipo de ataques se interpreta de forma contraria en este caso, penalizando a SIMYO porque sus medidas de seguridad puedan depender de la actuación de personas concretas. No puede exigirse a SIMYO, y tampoco a sus empleados o agentes, la capacidad de identificar de forma infalible los supuestos de fraude, especialmente cuando se ofrece, una “apariencia de realidad y seriedad suficiente para engañar a personas de mediana perspicacia y diligencia” (así considerado, entre otras muchas, en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/88 STS 2362/2020). 6. ALEGACIÓN QUINTA. – FALTA DE PROPORCIONALIDAD DE LA SANCIÓN PROPUESTA. A pesar de que la AEPD ha modulado el importe de la sanción impuesta se considera que, habiendo sido diligente en su actuación no procede imposición de sanción alguna. Para el hipotético caso de que se considerase la existencia de un supuesto incumplimiento, no resulta proporcional. Conviene incidir en que no es necesaria ninguna acción disuasoria, en tanto el supuesto objeto del presente procedimiento se ha llevado a cabo en contra de todo elemento volitivo de SIMYO. SIMYO no ha obtenido beneficio alguno, sino que le ha supuesto un perjuicio. Por lo que, en lo que se refiere a la necesidad del efecto disuasorio, la mera comisión del delito es un perjuicio para SIMYO. Adicionalmente, participa de manera voluntaria en el GT. CUARTA.- PRINCIPIOS RELATIVOS AL TRATAMIENTO. SIMYO. comparte con la Agencia la relevancia de las medidas de seguridad en aras de garantizar el derecho fundamental a la protección de datos, sin embargo, ha de hacerse una serie de matizaciones: • Ha sido reconocido el perjuicio que han sufrido ambos reclamantes: ambos recibieron una compensación por parte de SIMYO. • No pueden considerarse circunstancias particulares de las reclamaciones presentadas ni tampoco supuestos dentro del objeto del presente procedimiento, las suposiciones y posibilidades que elucubra la AEPD: acceso a aplicaciones, uso de redes sociales, etc. • Dichas suposiciones en nada pueden justificar la Propuesta de Resolución de la Agencia. • SIMYO no tiene control de tales procedimientos ni influencia alguna en las medidas de seguridad que se utilizan por las entidades bancarias. • Si bien SIMYO., como responsable del tratamiento tiene la obligación de determinar sus medidas de seguridad, es el encargado del tratamiento el que asumirá la responsabilidad, configurándose como responsable, cuando no siga las instrucciones del primero e incumpla los fines y medios del tratamiento en cuestión, como así lo estipula el artículo 28.10 del RGPD. • Reiterar, que en dos ocasiones se haya podido suplantar la identidad de los reclamantes en dos procedimientos de duplicado de tarjeta SIM de un total de aproC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/88 ximadamente ***NÚMERO.3 procedimientos de duplicado, mediante engaño suficiente, no puede determinar automáticamente la comisión de infracción y ausencia de diligencia por parte de SIMYO. • SIMYO no “facilita duplicados de la tarjeta SIM a terceras personas”. Cuando el tercero obtuvo el duplicado de la tarjeta SIM fue porque engañó al agente. • No estamos ante la presencia de un dato personal especialmente relevante. Los códigos que contiene necesitan asociarse con otros datos personales, para permitir la identificación del titular. No consta así mismo el acceso por los suplantadores de identidad a datos personales distintos de aquellos que ya conocían de manera previa a obtener fraudulentamente el duplicado de tarjeta SIM. • Con relación a la STC 292/200 no se pone en duda la definición y consideración del derecho a la protección de datos como derecho fundamental. Lo que no es aceptable es la intención de la Agencia de imputar dicha infracción, pese a haber llevado a cabo un despliegue de medidas de seguridad apropiado y adecuado, en los términos del artículo 32 del RGPD. QUINTA.- SEGURIDAD DEL TRATAMIENTO. La calificación jurídica que hace la Agencia de la infracción imputada a SIMYO no recoge el quebrantamiento del artículo 32 del RGPD. SEXTA.- CONDICIONES GENERALES PARA LA IMPOSICIÓN DE LA MULTA ADMINISTRATIVA. El tratamiento realizado no vulnera la normativa de protección de datos, ya que, SIMYO ha desplegado un nivel de diligencia adecuado, en la imposición de las medidas técnicas y organizativas necesarias para evitar la comisión de fraudes en las solicitudes de duplicados de tarjetas SIM. La sanción propuesta es en todo caso desproporcionada, atendiendo a las circunstancias y contenido de las supuestas infracciones. Los considerandos 11 y 13 del RGPD, que hacen referencia a garantizar la protección efectiva de los datos personales y hacerlo de manera coherente, apuntan que dicho objetivo también depende de que “las infracciones se castiguen con sanciones equivalentes”. - Agravantes: 1. Naturaleza y gravedad de la infracción: La pérdida de control y disposición de los datos personales no se inicia cuando SIMYO realiza el duplicado de la SIM, sino que tiene lugar antes. La referencia a que “Tras la entrada en vigor de la Directiva PSD2, el teléfono móvil pasa a tener un rol muy importante (…)” no hace sino certificar el traslado de responsabilidad hacia SIMYO que la AEPD pretende, sin tener en cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/88 que la limitación de estos riesgos corresponde a los obligados por dicha normativa, que son los obligados a implementar medidas adecuadas, entre las que no se encuentra la confirmación de las operaciones mediante el envío de SMS. No se evalúa en este apartado, la naturaleza y gravedad de la infracción imputada, que hace referencia al mantenimiento de una adecuada seguridad de los datos personales (artículo 5.1
10. f)RGPD), sino que se vuelve, una vez más, a analizar la actividad posterior realizada por los individuos que suplantan la identidad de los reclamantes. Categorizar la naturaleza y gravedad del tratamiento realizado por SIMYO, exige evaluar las medidas de seguridad establecidas en los procedimientos de duplicado de tarjeta SIM. Reiterar, de nuevo, que los terceros no han tenido acceso ninguno de los dos supuestos que aquí nos conciernen a los teléfonos móviles de los reclamantes, y, consiguientemente, tampoco a la información que estos pudiesen almacenar, que es diferente, en cualquier caso, de la información que pueda almacenar una tarjeta SIM (como ya hemos mencionado, no se almacenan aplicaciones, por ejemplo). 2. Nivel de los daños y perjuicios sufridos: SIMYO no es responsable de las políticas de identificación y verificación de clientes establecidas por las entidades bancarias. La Agencia indica que, si no se obtuviese el duplicado de la tarjeta SIM por los suplantadores de identidad, no se habría podido realizar las operaciones bancarias fraudulentas y el acceso al sistema de verificación. Tampoco se hubiesen podido producir las operaciones bancarias si la entidad financiera utilizase otro sistema de seguridad en la verificación. La Agencia no entra a valorar el nivel de los daños y perjuicios, en tanto se limita a indicar que éstos “se multiplican”, sin explicar cuál es la relación entre esta afirmación y los hechos objeto de análisis en este procedimiento. Con relación a la procedencia que ésta indica de realizar una evaluación de impacto, no puede pretender la Agencia que, se evalúe las posibilidades de comisión de fraude en la realización de operaciones bancarias a través de aplicaciones y banca electrónica de terceros. De nuevo, se realiza por la Agencia un acercamiento simplista, omitiendo la complejidad de la secuencia de hechos. No puede afirmarse que del proceso de duplicado de tarjeta SIM deriven directamente, ni necesariamente, las operaciones bancarias fraudulentas. SIMYO ha actuado igualmente, en cuestión de minutos, en concreto, en caso de la parte reclamante dos, en 36 minutos ha bloqueado la SIM, identificado el caso y frustrado la posibilidad de los delincuentes de cometer un mayor perjuicio. Sin embargo, en vez de considerar el nivel de efectividad desplegado, imC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/88 pone una obligación de resulta absoluta. Por todo lo anterior, los supuestos daños y perjuicios señalados por la AEPD no cabría imputarlos a SIMYO ni, por tanto, considerarlos como agravantes. 3. Intencionalidad o negligencia en la infracción: La Agencia exige a SIMYO una obligación de resultado absoluta, en tanto el nivel de diligencia no se está evaluando en atención a las medidas y procedimientos establecidos, sino que atiende únicamente al resulta obtenido. Introduce así la responsabilidad objetiva rechazada por nuestro Tribunal Constitucional, como ya hemos indicado, en la jurisprudencia que emana de la STC 76/1990 de 26 de abril. Además, la Agencia contradice igualmente la jurisprudencia (Sentencia del TS de 23 de enero de 1998) que ella misma viene utilizando como sustento de su calificación jurídica. Es por ello, que no puede considerarse a ésta como negligente, en tanto se han establecido procedimientos apropiados, los cuales han sido revisados y reforzados progresivamente. En todo caso, SIMYO ha de ser considerada diligente y actuar este hecho como atenuante de la sanción. 4. Grado de responsabilidad del responsable: Debe indicarse al respecto, que en los dos supuestos que nos ocupan, los agentes incumplieron la política de seguridad de SIMYO y las medidas concretas que ésta imponía. Además, como venimos indicando, SIMYO cuenta con medidas preventivas, técnicas y organizativas, medidas paliativas y coercitivas, por las que se sanciona a aquellos que no cumplan con las obligaciones impuestas. Así, debería interpretarse en favor de SIMYO. 5. Categorías de datos personales afectados por la infracción: Solo ha podido determinarse el tratamiento de datos personales identificativos básicos, cuyo conocimiento por los delincuentes era previo a la duplicación de la tarjeta. La teoría de que la tarjeta SIM es un dato personal no tiene sustento alguno. Por lo tanto, el tipo de datos objeto de tratamiento ha de ser considerado como un atenuante. 6. Vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/88 No puede considerarse la actividad desempeñada por SIMYO, de manera genérica, como elemento agravante. De lo contrario, cualquier procedimiento de SIMYO contaría siempre con dicho agravante, dado que se está considerando que la gravedad de una posible infracción aumenta por el mero hecho de pertenecer al sector de telecomunicaciones y realizar tratamientos de datos. - Atenuantes 1. Grado de cooperación con la autoridad de control Además de la cooperación y colaboración con la investigación, quiere esta parte reseñar la labor de SIMYO, así como de todo el Grupo Orange, participando voluntariamente en el GT para la revisión y mejora coordinada de los procedimientos relacionados con la seguridad en el tratamiento de datos personales. 2. Los beneficios obtenidos como consecuencia de la comisión de la infracción Insistir en que no sólo se produce la ausencia de beneficio, sino que ha supuesto un perjuicio para SIMYO, que ha tenido que llevar a cabo investigaciones internas, realizar compensaciones a los reclamantes y reevaluar procedimientos y protocolos. Para concluir, considera plenamente aplicable al presente caso lo dispuesto en el artículo 76.3 de la LOPDGDD relativo a sanciones y medidas correctivas: “será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679” el cual indica que las multas administrativas se impondrán “a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
11. a)a h)”. Teniendo en cuenta las circunstancias concurrentes y la nula intencionalidad o culpa de SIMYO, en el caso de que se considere que existe algún tipo de infracción del RGPD, la propuesta de sanción debería ser sustituida por la adopción de las medidas correctivas (artículo 58), consistentes en la advertencia o apercibimiento al responsable del tratamiento y la imposición de la obligación de adopción de medidas para realizar los tratamientos “de una determinada manera y dentro de un plazo especificado”. Sobre este particular, SIMYO entiende que la multa inicialmente estimada puede ser perfectamente sustituida por la obligatoria adopción de medidas correctoras. CONCLUSIONES 1º.- Aunque pudiera considerarse la información almacenada en la tarjeta SIM nunca la propia tarjeta en sí- como dato personal, no se ha acreditado que los mismos hayan sido objeto de tratamiento durante el tiempo en que los delincuentes tuvieron operativas las tarjetas SIM duplicadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/88 2º.- Los delincuentes no obtuvieron de SIMYO ningún dato personal adicional a los que ya tenían con anterioridad a dirigirse a SIMYO, obtenidos de entidades bancarias y que son empleados para suplantar la identidad de los afectados, por lo que el tratamiento realizado no supone una infracción de la confidencialidad de los datos personales. 3º.- La responsabilidad de las teleoperadoras no puede alcanzar a las operaciones bancarias que se puedan realizar como consecuencia de que las medidas de seguridad de las entidades bancarias sean inadecuadas. 4º.- Ha quedado acreditado que los dos supuestos se deben a una inadecuada aplicación de los protocolos establecidos por SIMYO que, tal y como evidencia la estadística, son adecuados y eficientes y sólo de manera absolutamente residual han podido ser superados por los delincuentes. 5º.- La superación por un tercero de las medidas de seguridad no puede determinar automáticamente que las mismas sean inadecuadas ya que supone aplicar un principio de responsabilidad objetiva en el ámbito sancionador vetado por el Ordenamiento Jurídico. 6º.- La AEPD ha declarado acreditados ciertos hechos (que dispone de una política de seguridad en la que se establece el modo de actuar para la expedición de los duplicados; que no puede colegirse una infracción del artículo 32, ni tampoco del artículo 5.2 y 25 del RGPD; que existen protocolos para prevenir las suplantaciones de identidad; que se han trasladado a los implicados en la tramitación; que se han introducido mejoras tras conocer ciertas vulnerabilidades; que existen penalizaciones por su incumplimiento o que ha actuado diligentemente a la hora de minimizar el impacto implantando nuevas medidas de seguridad). Por todo lo anterior, no procede declarar la existencia de una infracción del artículo 5.1.
12. f)del RGPD ni, en consecuencia, la imposición de sanción alguna, en tanto se ha acreditado un nivel de diligencia adecuado y no se ha acreditado ninguna quiebra del deber de confidencialidad. (La cursiva y negrita es de SIMYO). Estas Alegaciones serán objeto de respuesta en los FD de la presente Resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, quedan acreditados los siguientes: HECHOS PROBADOS PRIMERO: SIMYO es la responsable de los tratamientos de datos referidos en la presente Resolución, toda vez que conforme a la definición del artículo 4.7 del RGPD es quién determina la finalidad y medios de los tratamientos realizados con las finalidades señaladas en su Política de Privacidad, entre otras: Para el cumplimiento de la relación comercial o institucional: aquellas necesarias para llevar a cabo la prestación de los servicios de telecomunicaciones, el mantenimiento y la gestión de la relación a efectos de dar cumplimiento a lo dispuesto en el contrato firmado entre las partes: gestionar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/88 registro del Usuario y permitir el acceso a las actividades y herramientas disponibles a través del Sitio Web www.simyo.es; llevar a cabo el alta de Usuario, así como el mantenimiento y la gestión de la relación contractual con SIMYO; gestionar, tramitar y dar respuesta a peticiones, solicitudes, incidencias o consultas del Usuario, cuando éste facilite sus datos a través de los formularios habilitados al efecto en el Sitio Web www.simyo.es, etc. SEGUNDO: SIMYO es parte integrante del Grupo ORANGE (ORANGE, JAZZTEL, REPÚBLICA MÓVIL, AMENA y SIMYO). TERCERO: Con fecha 2 de septiembre de 2019, tiene entrada en esta Agencia una reclamación formulada por la parte reclamante uno (expediente con núm. de referencia E/10534/2019), dirigida contra SIMYO, tras expedirse en fecha 14 de agosto de 2019, un duplicado de la tarjeta SIM de la línea ***TELEFONO.1, a favor de una tercera persona distinta a la titular de la línea -la parte reclamante uno- y quedarse sin servicio. A las 21.35 horas del día 14 de agosto de 2019, la parte reclamante uno, recibe en su correo electrónico particular un email de ING DIRECT, donde se lee: “DOCUMENTACIÓN PRÉSTAMO NARANJA”, “Estimado A.A.A., gracias por elegirnos para la contratación de tu préstamo (…) te adjuntamos la documentación legal relativa al préstamo naranja número ***PRÉSTAMO.1, así como tres documentos en formato pdf, información normalizada europea, asistencia previa al contrato, y contrato de préstamos naranja”. El préstamo asciende a 43.000’00 euros con una cuota mensual de 586’09 euros, en 84 cuotas y fecha de vencimiento 36/8/2026, al 3,95% de interés. A las 21.43 horas del día 14 de agosto de 2019 (…) recibe en su correo electrónico (…) un email del banco ING DIRECT, donde se lee: “Estimado Señor A.A.A., (…) adjuntamos una copia de la documentación relativa a su contratación (…) producto contratado cuenta nómina número ***CUENTA.3, donde igualmente se consignan todos los datos personales de esta parte (…)”. Desde esta cuenta nómina se realiza una transferencia por importe de 10.000’00 euros en favor de un tercero. También se realiza una transferencia bancaria, por importe de 10.000’00 euros, desde la cuenta corriente de la parte reclamante uno ***CUENTA.1 (ING) a la cuenta ***CUENTA.2 (BBVA) -de la que es titular su esposa-, sin su consentimiento. Consta una llamada telefónica desde la línea ***TELEFONO.1 al número ***TELEFONO.11 a las 22:36:22 del día 14 de agosto de 2019, al Servicio de Atención al cliente del BBVA. Por estos hechos, la parte reclamante uno, presenta una denuncia ante la Unidad Orgánica de la Policía Judicial de la Guardia Civil, Comandancia de Huelva, en fecha 15 de agosto de 2019, con número de diligencias XXX/XX, que es objeto de ampliación, en fecha 21 de agosto de 2019, en la que añade: “(…) Que se advierte la creación en las posiciones del que suscribe de la entidad bancaria ING, Tarjeta de Débito a nombre de A.A.A. ***TARJETA.1 Tarjeta de Débito a nombre de A.A.A. ***TARJETA.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/88 Tarjeta de Crédito a nombre de A.A.A. ***TARJETA.3” La parte reclamante uno, en fecha 15 de agosto de 2019, se pone en contacto con SIMYO, mediante el Servicio de Atención al Cliente, indicando que no reconoce ni el duplicado de la tarjeta SIM ni la modificación de datos de contacto (correo electrónico) realizada. SIMYO confirma que la tarjeta SIM fue entregada en fecha 14/08/2019 en un (…) y que la activación se produce a través del (…) mediante la opción existente en aquél momento de “(…)” a las 21:15:40. La activación se realiza con posterioridad a (…). SIMYO, con fecha 23 de agosto de 2019, elimina la posibilidad de (…). SIMYO, con fecha 30 de agosto de 2019, deshabilita la posibilidad de (…). SIMYO reconoce que (…). CUARTO: Con fecha 6 de noviembre de 2019, tiene entrada en esta Agencia una reclamación formulada por la parte reclamante dos (expediente con núm. de referencia E/00220/2020), dirigida contra SIMYO, tras expedirse en fecha 23 de agosto de 2019, un duplicado de la tarjeta SIM de la línea ***TELEFONO.4, a favor de una tercera persona distinta a la titular de la línea -la parte reclamante dos- y quedarse sin servicio. Con fecha 23 de agosto de 2019 a las 17:02, la parte reclamante dos, remite un correo electrónico a “soporte@simyo.es” con el siguiente tenor: “Buenas tardes, Necesito saber los datos del teléfono que me ha llamado con número oculto haciéndose pasar por operador de SIMYO para obtener mis datos personales. Última llamada recibida: Día: 23/08/2019 Hora: 16:12 Duración: 1 Min 13 seg Adjunto mi DNI, tal y como me indicó el operador de atención al cliente para obtener esta información. Gracias de antemano. C.C.C..” Con fecha 24 de agosto de 2019, la parte reclamante dos, accede al Área Personal de cliente y observa el siguiente mensaje: “Aquí tienes el histórico de todas las operaciones realizadas con tus líneas (portabilidad, alta, envío…) 23/08/2019 17:48:43 ¡Misión cumplida! Ya te hemos entregado tu duplicado de sim, recuerda que para activarlo ve al apartado DUPLICADO/ACTIVAR SIM del menú. LÍNEA: ***TELEFONO.5.” Por estos hechos, la parte reclamante dos, presenta una denuncia ante el Puesto P. de Rincón de la Victoria, de la Comandancia de la Guardia Civil de Málaga, en fecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/88 24 de agosto de 2019, con número de atestado ***DENUNCIA.1 en la que manifiesta: “ (…) que es titular, de una cuenta bancaria en la entidad Banco Santander con número de cuenta ***CUENTA.4, en la cual consta como personas autorizadas el padre del denunciante D. E.E.E., su madre Dª F.F.F. y el hermano del denunciante D. G.G.G.. Que el día 23 de agosto de 2019, sobre las 22:45 aproximadamente el denunciante accede a la aplicación de consulta de cuenta de la entidad Banco Santander, y puede comprobar cómo se ha retirado de la cuenta la cantidad de 30.000-- euros, que inmediatamente efectúa llamada telefónica a sus padres para saber el motivo de dicha retirada, y que sus padres le informan de que no han hecho ningún movimiento de esa cantidad. (…) Que el denunciante recibe una llamada en su terminal móvil con número ***TELEFONO.4, el cual opera con la compañía SYMIO, con número oculto y privado, sobre las 13:35 horas aproximadamente, en el cual le pregunta un interlocutor hombre, varias preguntas sin que estuvieran relacionadas con el denunciante, como que facilite su DNI, fecha de nacimiento, etc, que el interlocutor tenía acento español, al parecer del norte de España. Que el denunciante recibe una se